Que testes de segurança você faz como parte do QA normal, sem ser um especialista em segurança?

Foque no que o teste funcional alcança naturalmente. Teste autorização requisitando recursos de outro usuário com um token válido, cheque se IDs em URLs não podem ser simplesmente trocados, tente payloads de injeção em entradas que chegam a uma query ou a um template, confirme que dados sensíveis não estão em logs nem em URLs, verifique expiração de sessão e logout, e cheque headers de segurança e obrigatoriedade de TLS.

Eu foco nas classes que consigo alcançar a partir do teste normal, e no topo da lista está controle de acesso quebrado, porque é comum e é grave. O teste concreto é simples: logar como um usuário, anotar o ID numa URL ou payload, e repetir a requisição com o token válido de um segundo usuário para ver se o objeto volta. Eu faço o mesmo para limites de papel, tipo um usuário comum batendo direto num endpoint de admin em vez de passar por um botão escondido. Em seguida injeção em qualquer lugar em que a entrada chega numa query, num template ou num shell, mais cross site scripting armazenado, em que um valor acaba sendo renderizado em outro lugar da aplicação, que é o caso que as pessoas perdem porque só checam o campo em que digitaram. Depois exposição de dados: valores sensíveis em URLs, em logs, em stack traces devolvidos ao cliente, ou numa resposta carregando muito mais campos do que a UI mostra. Tratamento de sessão, então logout invalidando no servidor e tokens realmente expirando. E eu checo headers e obrigatoriedade de TLS, o que é rápido. Qualquer coisa que se aproxime de teste de intrusão de verdade eu escalo, porque fingir o contrário dá uma falsa sensação de garantia.