安全评审

何时使用

• 上线前做一次安全自查;
• 用户说"帮我看下这段代码安不安全""有没有漏洞";
• 安全事件后复查代码;
• 审查涉及用户数据、支付、权限的功能。

使用步骤

第 1 步:划定范围

先确认:

1. 审查哪些模块(全量还是指定功能);
2. 技术栈和框架(不同框架的安全默认值不同);
3. 数据敏感程度(有没有用户隐私、支付、密钥)。

第 2 步:逐项检查

注入类

• SQL:是否用参数化查询,有没有字符串拼接 SQL;
• 命令注入:是否把用户输入拼进 shell 命令;
• 路径穿越:文件路径是否校验,能否用 ../ 逃逸;
• 代码注入:eval、动态 import 是否接收外部输入。

认证与授权

• 密码是否用成熟算法哈希(bcrypt/argon2),有没有明文存储;
• 会话 token 是否安全存储,有没有固定会话;
• 越权:接口是否校验"这个用户能不能动这条数据",而不是只校验"登录没有";
• 敏感操作(改密、转账)有没有二次确认。

数据泄露

• 日志里有没有打密钥、token、手机号;
• 错误信息有没有把堆栈和内部路径暴露给用户;
• 接口响应有没有返回多余字段(如 password_hash);
• 敏感数据传输是否走 HTTPS。

Web 通用项

• XSS:输出是否编码,有没有 innerHTML/v-html 直接渲染用户输入;
• CSRF:状态变更请求有没有 token 或 SameSite 防护;
• 依赖:有没有已知漏洞的版本,npm audit/pip-audit 结果如何;
• 安全头:Content-Security-Policy、X-Frame-Options 等是否配置。

第 3 步:验证与输出

完整检查清单与危险写法速认表见 references/OWASP_CHECKLIST.md。

能本地验证的(拼接 SQL、硬编码密钥、未编码输出)直接指到具体行;需要环境验证的(越权、CSRF)标注验证方法。

输出报告:

# 安全评审报告

## 结论
通过 / 修改后通过 / 不通过

## 问题清单
| 级别 | 位置 | 风险 | 证据 | 修复建议 |

## 验证方法
需要人工或环境验证的项目

输入与输出

• 输入:代码或模块范围;
• 输出:问题清单 + 修复建议 + 验证方法。

示例

代码:

query = f"SELECT * FROM users WHERE name = '{user_input}'"

评审发现:

• P0:字符串拼接 SQL,存在注入风险;
• 建议:改参数化查询:

query = "SELECT * FROM users WHERE name = %s"
cursor.execute(query, (user_input,))

辅助脚本

scripts/security_scanner.py 扫描目录下的代码,标记硬编码密钥、拼接 SQL、命令注入、路径穿越、裸 except、调试模式残留等可疑点:

python scripts/security_scanner.py <目录或文件>

脚本只做标记,结论需要人确认。

注意事项

• 不确定的漏洞标注"需验证",不要吓唬人;
• 审查要能指出具体位置和证据,不能只说"这里不安全";
• 修复建议要可落地,给出改法而不是空话;
• 不要把"潜在风险"和"已确认漏洞"混为一谈。

不适用场景

• 用户要的是渗透测试(需要专门工具和环境);
• 没有代码,只有一句"帮我查下安全";
• 基础设施安全(云配置、网络策略)不在本技能范围。

验证方式

1. 触发:"帮我看下安不安全""有没有漏洞";
2. 检查:报告覆盖注入、认证授权、数据泄露、Web 通用项;
3. 抽查:任选一条 P0/P1,对照代码确认问题真实存在。