Técnicas de Revisão Segura de Código

A revisão segura de código identifica vulnerabilidades de segurança no código-fonte antes da implantação. Diferentemente da revisão funcional de código, ela se concentra em limites de confiança, fluxos de dados, APIs perigosas, controles ausentes e erros na lógica de segurança — não em correção ou estilo.

As ferramentas SAST automatizadas (Semgrep, SonarQube, CodeQL) detectam rapidamente padrões conhecidos, mas não identificam falhas na lógica de negócio, vulnerabilidades complexas que envolvem vários componentes e problemas dependentes do contexto. A revisão manual identifica o que a automação não detecta. Ambas são necessárias.

Comece a revisão de segurança mapeando todos os pontos de entrada: endpoints HTTP, manipuladores de filas de mensagens, uploads de arquivos, tarefas agendadas, webhooks e argumentos da CLI. Cada ponto de entrada que aceita dados externos é um possível ponto de injeção que exige análise cuidadosa.

Rastreie os dados controlados pelo usuário desde o ponto de entrada até seu uso final na aplicação. Eles chegam a uma consulta de banco de dados? A um comando de shell? A um modelo HTML? A uma chamada de API? Acompanhe o fluxo de dados e verifique cada etapa de transformação e sanitização.

As decisões de segurança ocorrem nos limites de confiança — onde os dados passam de um contexto menos confiável (uma solicitação HTTP) para um mais confiável (um banco de dados ou o OS). Cada passagem por um limite de confiança deve validar, sanitizar ou autorizar os dados.

Sinalize o uso de: eval(), exec(), system(), shell_exec(), innerHTML, dangerouslySetInnerHTML, deserialize(), pickle.loads(), Runtime.exec(), ProcessBuilder, analisadores XML sem a expansão de entidades desativada e primitivas criptográficas usadas diretamente em vez de APIs de alto nível.

Verifique: todo endpoint sensível é protegido por autenticação? A autorização é verificada no servidor para cada ação? Um usuário pode acessar os dados de outro usuário alterando um parâmetro de ID (IDOR)? As operações sensíveis estão protegidas contra CSRF?

Procure blocos catch que ignoram exceções silenciosamente. Verifique se as mensagens de erro exibidas aos usuários não revelam caminhos internos, rastreamentos de pilha ou a estrutura do banco de dados. Confirme se as exceções de segurança (AuthenticationException) são registradas e não simplesmente ignoradas.

Sinalize: MD5 ou SHA-1 para hash de senhas (use bcrypt/Argon2), chaves simétricas ou IVs codificados diretamente no código, criptografia no modo ECB (use GCM ou CBC com HMAC), implementações criptográficas personalizadas e geradores de números aleatórios que não sejam criptograficamente seguros.

Revise o package.json/pom.xml em busca de dependências desatualizadas. Verifique na configuração da aplicação se o modo de depuração está ativado em produção, se há páginas de erro detalhadas, credenciais de administrador em arquivos de configuração e cabeçalhos de segurança ausentes (HSTS, CSP, X-Frame-Options).

As regras do Semgrep correspondem a padrões de sintaxe com consciência semântica. Escreva regras personalizadas para os padrões específicos da sua base de código. O CodeQL trata o código como dados — escreva consultas sobre a AST para encontrar fluxos de dados das fontes aos destinos em arquivos e chamadas de métodos.

Uma revisão segura de código eficaz combina o mapeamento de pontos de entrada, o rastreamento do fluxo de dados, a análise de limites de confiança, a detecção de APIs perigosas e ferramentas SAST automatizadas. Ela detecta problemas de segurança que a revisão funcional não identifica, especialmente falhas na lógica de negócio e lacunas sutis de autorização.