知识卡片
用工具和奖励取代安全说教
内容
Chrome安全团队没有把提升代码安全性变成对普通工程师的规范要求，而是投入时间构建模糊测试基础设施和安全基础库，让开发者写出的默认代码就是安全的；再配合每年组织有奖模糊测试竞赛、开发模糊测试教程，以及对践行良好安全实践的个人或团队给予奖金和表彰，把”提升安全性”从一件需要额外意愿才会做的苦差事，变成了顺手就能做、还有回报的事情。这个思路的核心是：与其反复强调安全有多重要，不如让做对的事情变得更容易、更有吸引力。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第19章《案例研究：Chrome安全团队》19.2节（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_153.html`）
- 结论依据：原文说明团队"投入时间为开发人员构建和维护一套模糊测试基础设施和工具……每年组织有奖模糊测试竞赛，并开发模糊测试教程……当安全团队发现有人构建起强有力的安全实践模式时，会向有关个人或他们的经理送出奖金或予以表彰"。
- 原始内容：除了为开发人员构建有用的工具以外，安全团队还为工程团队进行模糊测试设置了正向激励。例如，每年组织有奖模糊测试竞赛，并开发模糊测试教程……通常，当安全团队发现有人构建起强有力的安全实践模式时，会向有关个人或他们的经理送出奖金或予以表彰。