对代码进行审计时，其审计的范围是非常广泛的，它包含了从源代码自身开始，一直到其所依靠的第三方组件，从业务施行的逻辑，再到安全方面的配置等众多不同的方面。
一、源代码审计
源代码审计呀，那可是代码审计最为关键的部分呢，它包括了针对用各种编程语言所编写的源代码展开全面的检查，审计人员得熟知好多不同种类的编程语言，像Java、Python、PHP等等这些，以及它们各自框架所具有的特性，借助静态代码分析工具，像SonarQube、PMD等，还有动态代码分析工具，像BurpSuite、ZAP等，把它们结合起来去使用，以此来找出代码里面存在的安全漏洞以及编码不符合规范的那些问题。
进行安全漏洞检测，其中涵盖SQL注入，还有跨站脚本攻击，也就是XSS，另外包括代码注入，以及拒绝服务攻击等等常见的安全漏洞 。
审查代码的结构情况，考量代码的规范性程度，评判代码的可读性水平，审视代码的可维护性状况，找出潜在的编码里面的缺陷之处，察觉不良的实践行为 。
代码执行效率评估，内存占用情况评估，并发性能评估，以此进行性能分析，进而发现潜在的性能瓶颈 。
二、第三方组件审计
当代的软件项目常常依靠数量众多的第三方组件以及开源库，这些组件的安全性对于整个软件系统的安全有着直接的影响，所以审计人员一定要针对项目里所使用的第三方组件展开审计，查看其是不是存在已经知晓的安全漏洞或者不符合规定的使用方式 。
对组件来源展开验证，要保证第三方组件源自可信的地方，防止去运用来路并非清楚明白的组件。
进行版本检查，查看组件的版本，是不是存在已知的安全方面的漏洞，然后及时地将其更新到安全的版本。
审查许可协议，要保证组件的使用契合其许可协议的要求，以此来防止法律风险的出现。
三、业务逻辑审计
软件里头，业务逻辑可是核心所在，它能决断系统的功能以及行为表现。审计人员得深入去领会系统的业务逻辑，查看其中有没有安全方面的漏洞倾向或者设计上的缺陷之处。
进行，输入验证，去检查，所有可能存在的，用户输入的点，以此来确保，被输入的数据，是经过，严格的过滤，以及校验的 。
权限进行控制，对系统的权限管理机制予以评估，要保证用户仅仅能够访问被自身授权的资源，。
会话管理方面，对会话管理机制的安全性展开检查，用以防范会话劫持以及会话固定攻击 。
