この記事では、Node.jsおよびExpress APIにおけるDevSecOpsの実践的な実装について詳述し、早期のセキュリティ統合を強調しています。GitHub Actionsパイプラインをどのように設定し、Bearer CLIを使用してコードセキュリティを自動的に分析したかを示しています。目標は、意図的に導入された脆弱性がデプロイ前に自動的に検出できることを実証することでした。デモンストレーションには、認証ログ内の機密情報を含むシミュレートされた脆弱性が使用されました。Bearerは高深刻度の問題を正常に特定し、パイプラインを失敗させました。コード修正後、パイプラインは成功し、Renderへのデプロイが可能になりました。このソリューションは、開発、バージョン管理、SAST、自動化、およびクラウドデプロイを統合しています。セキュリティパイプラインワークフローは、コードプッシュまたはプルリクエストによってトリガーされ、Bearer CLIが高およびクリティカルな深刻度の問題をスキャンします。機密データ、認証情報、および潜在的なセキュリティ上の欠陥をコードで分析するBearerの能力は、DevSecOpsにとって価値があります。意図的な脆弱性はパスワードのログ記録を含み、Bearerはこれを高深刻度の発見（CWE-134）として検出しました。この失敗は品質ゲートとして機能し、安全でないコードの進行を防ぎました。修正は、ログから機密データを削除し、トレース可能性に必要な情報のみを残すことでした。修正を確認するために、新しいプッシュがパイプラインを再度トリガーし、今回は正常に完了しました。このプロセスは、SASTツールが開発ワークフロー内で脆弱性の修正を検出、ブロック、および検証できることを示しています。開発からクラウドデプロイまでの完全なフローにセキュリティチェックを組み込んだことが正常に実証されました。学んだ主な教訓は、早期のセキュリティ統合、自動化、機密データの保護、セキュリティゲートの使用、および開発プロセスへのセキュリティの埋め込みの重要性です。