安全代码审查技术

安全代码审查可在部署前识别源代码中的安全漏洞。与功能代码审查不同，它关注信任边界、数据流、危险 API、缺失的控制措施和安全逻辑错误，而不是正确性或代码风格。

自动化 SAST 工具（Semgrep、SonarQube、CodeQL）可以快速发现已知模式，但会遗漏业务逻辑缺陷、复杂的多组件漏洞以及依赖上下文的问题。手动审查可以发现自动化工具遗漏的问题。两者缺一不可。

开始安全审查时，请先梳理所有入口点：HTTP 端点、消息队列处理程序、文件上传、计划任务、网络钩子和 CLI 参数。每个接受外部数据的入口点都可能是需要仔细审查的注入点。

请从入口点开始，追踪用户可控数据在应用中的流转，直到其最终使用位置。它是否会进入数据库查询？Shell 命令？HTML 模板？API 调用？请跟踪数据流，并检查每个转换和清理步骤。

安全决策发生在信任边界处，也就是数据从不太可信的上下文（HTTP 请求）进入更可信的上下文（数据库、操作系统）的地方。每次跨越信任边界时，都必须验证、清理或授权数据。

请标记以下用法：eval()、exec()、system()、shell_exec()、innerHTML、dangerouslySetInnerHTML、deserialize()、pickle.loads()、Runtime.exec()、ProcessBuilder、未禁用实体扩展的 XML 解析器，以及直接使用加密原语而不是高级 API 的情况。

请检查：每个敏感端点是否都受到身份验证保护？是否在服务器端为每个操作检查授权？用户能否通过更改 ID 参数访问其他用户的数据（IDOR）？敏感操作是否受到 CSRF 保护？

请查找静默吞掉异常的 catch 代码块。请确认向用户显示的错误消息不会透露内部路径、堆栈跟踪或数据库结构。请验证安全异常（AuthenticationException）已被记录，而不是被悄悄忽略。

请标记以下问题：使用 MD5 或 SHA-1 进行密码哈希（应使用 bcrypt 或 Argon2）、硬编码的对称密钥或 IV、使用 ECB 模式加密（应使用 GCM，或使用带 HMAC 的 CBC）、自定义密码学实现，以及不具备密码学安全性的随机数生成器。

请审查 package.json/pom.xml，检查是否存在过时的依赖项。请检查应用配置中是否在生产环境启用了调试模式、是否存在详细错误页面、配置文件中是否包含管理员凭据，以及是否缺少安全标头（HSTS、CSP、X-Frame-Options）。

Semgrep 规则可以在具备语义感知能力的情况下匹配语法模式。请针对代码库的特定模式编写自定义规则。CodeQL 将代码视为数据，您可以针对 AST 编写查询，跨文件和函数调用查找从数据源到数据汇的数据流。

有效的安全代码审查结合了入口点梳理、数据流追踪、信任边界分析、危险 API 检测和自动化 SAST 工具。它可以发现功能审查遗漏的安全问题，尤其是业务逻辑缺陷和隐蔽的授权漏洞。