В этой статье подробно описывается практическая реализация DevSecOps для API на Node.js и Express с акцентом на раннюю интеграцию безопасности. Показано, как конвейер GitHub Actions был настроен для автоматического анализа безопасности кода с использованием Bearer CLI. Цель состояла в том, чтобы продемонстрировать, что намеренно внедренные уязвимости могут быть автоматически обнаружены до развертывания. Для демонстрации использовалась имитированная уязвимость, связанная с конфиденциальной информацией в журналах аутентификации. Bearer успешно выявил проблему высокой степени серьезности, что привело к сбою конвейера. После исправления кода конвейер успешно завершился, что позволило развернуть приложение на Render. Решение интегрирует разработку, контроль версий, SAST, автоматизацию и облачное развертывание. Рабочий процесс конвейера безопасности запускается при отправке кода или запросах на слияние, при этом Bearer CLI сканирует на наличие проблем высокой и критической степени серьезности. Способность Bearer анализировать код на наличие конфиденциальных данных, учетных данных и потенциальных уязвимостей делает его ценным инструментом для DevSecOps. Намеренная уязвимость заключалась в логировании паролей, которое Bearer обнаружил как проблему высокой степени серьезности (CWE-134). Этот сбой действовал как контрольная точка качества, предотвращая продвижение небезопасного кода. Исправление заключалось в удалении конфиденциальных данных из журналов, оставляя только необходимую информацию для отслеживания. После проверки исправления новая отправка кода снова запустила конвейер, который теперь успешно завершился. Этот процесс иллюстрирует, как инструменты SAST могут обнаруживать, блокировать и проверять исправление уязвимостей в рамках рабочего процесса разработки. Полный поток от разработки до облачного развертывания, включая проверки безопасности, был успешно продемонстрирован. Основные выводы включают важность ранней интеграции безопасности, автоматизации, защиты конфиденциальных данных, использования контрольных точек безопасности и встраивания безопасности в процесс разработки.