使用DVWA或Mutillidae，让他们修复代码，然后演示修复前/修复后的行为？也许比您想象的要复杂一些，但这也将证明他们的编码能力。

或者，如果这太多了，让他们以最低的安全设置通过 DVWA，寻找某些数据？（获取用户名、无凭据登录等）您甚至可以将测验缩减为只问一个问题？“管理员密码是多少？” 它不会测试他们的编码知识，而是如何测试不安全的编码实践。

完全披露：我没有将这些用作测验。

这里有一些：

• http://www.myappsecurity.com/threat-modeling/secure-coding-quiz/
• http://www.myappsecurity.com/threat-modeling/owasp-top-ten-quiz/
• http://www.myappsecurity.com/threat-modeling/application-security-crossword/
• http://myappsecurity.com/encryption-quiz/
• http://myappsecurity.com/threat-modeling-quiz/

微软似乎也有一个 Threat Modeling Card 游戏：

• http://www.microsoft.com/security/sdl/adopt/eop.aspx