这本书讨论的不是“如何在 DevOps 流水线里再多接几种安全工具”，也不是把 DevSecOps 简化成单一的“安全左移”口号。它真正关心的是另一件更难、也更接近现实的事：企业怎样把零散的安全动作，逐步建设成一套能够长期运行、持续改进、可被治理、可被证明的工程体系。
很多团队并不是什么都没做。它们做过扫描、培训、评审、加固、监控、审计和专项治理，甚至已经买了不少工具、建了若干流程，但体系依然不稳。问题往往不在某个动作是否存在，而在这些动作能否被组织成默认控制、责任链路、反馈闭环和经营机制。也正因为如此，这本书试图回答的不是单点技术问题，而是企业级安全建设中更完整的几组问题：如何从 0 到 1 建起一套 DevSecOps 能力，如何从零散动作走向体系化建设，如何把设计、研发、交付、运行、响应、合规和决策放进同一条主线，以及如何在体系建成后继续治理、复评和演进，而不是让它在业务压力、人员流动和技术变化中重新退化。
换句话说，本书既关心“怎么建设”，也关心“怎么治理”；既关心“如何起步”，也关心“如何长期经营”；既面向从零启动的组织，也面向已经做了不少动作却仍然缺乏系统性的团队。
本书试图帮助读者建立一套更完整的 DevSecOps 知识体系，并围绕以下问题展开：
- 企业为什么明明做了很多安全动作，体系却仍然不稳
- 如何从零开始建设一套可落地的 DevSecOps 能力，而不是先陷入工具堆叠
- 如何把零散的安全实践整理成稳定的责任边界、控制面和反馈链
- 如何让安全要求真正进入设计、编码、测试、交付和运行的默认路径
- 如何在系统上线后继续通过监控、响应、漏洞治理和复盘守住能力
- 如何把工程结果转成认证、合规、管理决策和长期运营语言
- 如何避免体系在审计之后、人员变动之后或业务压力之下重新退化
如果把全书再压缩成一句话，它讨论的是：企业怎样把安全从“很多人各自做了一些事”，变成“一套能够持续建设、持续治理、持续证明、持续演进的系统能力”。
本书适合以下几类读者：
- CISO、安全负责人、技术管理者
- 安全架构师、研发负责人、平台负责人
- 安全工程师、DevOps 工程师、平台工程师
- 合规、采购、风险治理和第三方管理相关角色
对于管理者，这本书更强调建设顺序、责任边界、治理抓手和决策语言；对于架构、研发与平台团队，这本书更强调如何把安全要求变成工程能力；对于安全团队，这本书更强调如何从问题发现者转向规则、控制面和治理机制的设计者。
全书按五编组织，分别对应企业在建设 DevSecOps 时最常遇到的五类核心问题：治理与组织、设计与研发、验证与交付、运行与响应，以及合规、决策与持续演进。
回答为什么做、由谁来做，以及组织怎样真正把责任接住。
- 第01篇 导读：企业级DevSecOps全景与阅读路线
- 第02篇 DevSecOps理念与框架
- 第03篇 DevSecOps框架全景与选型
- 第04篇 安全文化与组织变革
- 第05篇 安全团队建设与能力模型
回答在研发阶段什么样的设计和实现才算真正把事情做对。
- 第06篇 安全架构与设计模式
- 第07篇 安全编码规范与工程实践
- 第08篇 威胁建模与安全需求
- 第09篇 前端安全与客户端防护
- 第10篇 Web服务端安全工程
- 第11篇 移动应用安全工程
- 第12篇 桌面客户端安全工程
- 第13篇 API安全工程
- 第14篇 安全度量与可视化治理
回答如何在交付链路上持续发现问题、阻断风险并保护产物。
- 第15篇 数据库安全工程
- 第16篇 中间件安全基线与加固
- 第17篇 云原生与基础设施安全
- 第18篇 静态分析与代码审查
- 第19篇 软件成分分析与依赖安全
- 第20篇 密钥与凭证安全
- 第21篇 安全测试自动化
- 第22篇 CI/CD流水线安全
回答系统上线后如何持续守住、如何应对事件，以及如何把运行期问题重新收口为治理动作。
回答如何把前面的工程能力沉淀成可审计、可决策、可长期经营的体系。