sec-audit：用 AI 做安全审计

一句话：两个模型各审一遍，第三个专门找它们的错；只读，不碰生产；每天审昨天改了什么。

规矩（先说清楚）

• 只读：读代码、读配置、在服务器上看端口和配置可以；不对生产环境做任何攻击测试，复现在本地或测试环境。
• 报告和消息里不写任何密钥、Key、密码、完整卡号、客户个人信息。
• 不登录第三方账号（支付网关后台、云控制台），需要看的让人去看。
• 修复要人看过再改，审计本身不改代码。

1. 分模块：先审“能变出钱或额度的地方”

按风险分好，每个模块一次审完：

2. 两个模型独立审，第三个反方复核

1. 起两个子代理（Claude Code 里用 Agent 工具，选两个不同的模型），给同一批文件、同一份“看什么”清单，互相不看对方的结果。
2. 两边的发现合并，交给另一个代理做反方复核：逐条找反证（“这条为什么不成立？”），并审修复方案会不会弄坏正常流程。
3. 只留复核后确认的（标“确认 / 可能 / 误报”）。实际经验：单个模型报的东西里有一部分是误报；两个模型都报 + 复核确认的，基本都是真的。

给审计代理的提示要点：

• 告诉它业务上什么东西值钱（余额、额度、兑换码、佣金、卡号），让它从“我是攻击者，想白拿这些”出发。
• 要它给出具体的利用步骤（哪个接口、什么参数、并发几次），给不出步骤的降级为“可能”。
• 要它写“文件:行”，方便人去核对。

3. 每天自动审

用定时任务（Claude Code 的定时任务 / cron 调 claude -p）每天跑一次：

1. 在一个专用的工作目录里拉最新的主分支（只给审计用，不在你干活的目录里跑）。
2. 审昨天的改动：git log --since="36 hours ago" --name-only 列出改过的代码和配置文件，全部审一遍。
3. 轮换抽查一个高风险模块：按日期轮（比如 date +%j 除以模块数取余数，对应上面表里的模块），不管最近有没有改都审。
4. 报告写进仓库 docs/security/YYYY-MM-DD-audit.md 并提交。没有发现也写一份短的，说明看了哪些文件。
5. 有高危才推群：一句话说是什么、影响多大、报告在哪。没有高危不推，免得大家习惯性忽略。

4. 报告格式

# 2026-01-01 安全审计

范围：昨天的改动（N 个文件）+ 轮换模块「免费额度」。两个模型独立审，第三个反方复核。

| # | 严重 | 问题 | 位置 | 怎么利用 | 影响 | 处理 |
|---|---|---|---|---|---|---|
| 1 | 高 | 新人礼可以反复领 | app/gift.php:42 | 换 IPv6 地址 + Gmail 加点注册 | 每个号 X 元，无上限 | 已修：… |

## 要人决定的
- …（修了会影响正常用户 / 运营流程的，写清楚两种选择的代价）

## 反方复核
- #3 是误报：…

严重程度：高 = 能直接拿到钱 / 额度 / 别人的数据；中 = 要满足条件或损失有上限；低 = 加固项。

5. 我们真实审出来过的问题（照着查）

都是在正常运行的网站上审出来的，已经修了。你的代码里大概率也有几条：

免费额度和奖励

1. 新人礼能反复领：同一网络按完整 IP 判断，IPv6 换个地址就算新网络；Gmail 加点、加 + 算新邮箱；先查后写有并发空档；没有每天总量上限。
2. 试用次数能超：先检查再记录，不是原子的，并发请求能超出次数。
3. 自己推荐自己：用小号下单，小号拿折扣、大号拿佣金。
4. 退款 / 拒付之后，已发的佣金没有作废（只有“取消订单”才作废）。

钱和扣费

5. 盗卡充值：新号卡类付款没有单笔 / 每日上限，拒付回来时额度已经花掉。
6. 余额很少的账号并发发请求，能把余额扣成负数（扣费不是先预扣）。
7. 转发给上游的参数和计费用的参数不是同一份：数量只在估价时截断，转出去的是原始值。
8. 新加的扣费接口没检查子 Key 的额度上限，限额很小的子 Key 能花掉整个账户。
9. 晚到的上游回调把已经结算的任务改回“进行中”，用户永远拿不到结果。
10. 用来防并发的锁过期时间比操作本身短，慢的时候锁先过期，两个请求同时通过余额检查。
11. 开了折扣码以后，对账用的是原价字段，打折的单按原价入账。

账号和权限

12. 撞库时失败次数能被清零：任何人登录成功会清掉这个 IP 的全部失败记录，攻击者试几次密码、登一下自己的号、再试几次，永远不锁。
13. 有“修改客户”权限的员工能接管任意客户账号（重置密码直接看到新密码、关掉客户的两步验证），然后花客户的余额。
14. 同邮箱的旧账号会被接到一个还没验证邮箱的新账号名下。
15. 一次性登录链接没有绑定发起的浏览器：攻击者能把受害者登录到攻击者的号上，受害者再付款就付进了攻击者的号。
16. 某个后台操作的 POST 没查权限，任何管理员都能改。
17. 删掉的 API Key 还能查余额和任务列表。

入口和日志

18. 反向代理把原始路径转给内部服务，..、%2e、%2f、反斜杠能拼出内部管理接口的路径。修法：路径里有这些一律 404。
19. CSRF 校验失败后的跳转地址能被拼成 //别的网站（开放跳转）。
20. 有的 API 把 Key 放在网址里（?key=），明文进了 nginx 日志、网关日志、外部日志平台，后台“看请求内容”也能看到。
21. 推到外部日志平台的打码规则漏了网址的第一个参数（?t= 登录交接 token 原样推出去了）。
22. 服务器上有两把没人认识的 SSH 公钥（云控制台绑定的，重装会写回）。
23. Docker 发布的端口绕过了 ufw，以为“只放行内网”的规则其实不起作用。
24. 自动安全更新装了，但安全更新源被镜像注释掉了，一个补丁都没装。

没发现问题的地方也写下来——“付款通知先验签再回查、金额对不上不入账、每张单只入账一次”这些已经做对的，写进报告，下次改动时有人知道不能把它们改坏。

6. 运行时兜底

审计有漏网的，所以还要有运行时对账告警（sec-payment §8）：余额 / 额度只能因为有记录的充值变多，多出来的找不到来源就报。朋友被刷的那种情况，有这个告警一个小时内就能发现。