一次生成式重构新增了能够安排退款的 Webhook。安全审查最有力的第一步是什么？

一次生成式重构新增了能够安排退款的 Webhook。安全审查最有力的第一步是什么？

1. 先对新的参与者、入口、身份、受保护资产、特权效果和滥用用例建模，再追踪控制
2. 生成函数很短且使用 async/await，因此批准
3. 只运行现有的退款成功测试
4. 询问模型代码是否遵循安全最佳实践