安全审计工作流

# .github/workflows/security-scan.yml — 完整安全扫描流水线 name: "安全审计流水线" on: push: branches: [main, develop, release/**] pull_request: branches: [main, develop] schedule: - cron: '0 8 * * 1' # 每周一早上8点全量扫描 jobs: # ── 阶段1：SAST 静态分析 ── sast-scan: name: "SAST 代码安全扫描" runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 - name: Semgrep 扫描 uses: semgrep/semgrep-action@v1 env: SEMGREP_APP_URL: https://semgrep.dev with: config: >- p/python p/javascript p/java secrets .semgrep.yml severity: ERROR,WARNING - name: Bandit Python 扫描 if: hashFiles('setup.py') || hashFiles('requirements.txt') run: | pip install bandit bandit -r src -f json -o bandit-report.json -c .bandit.yml - name: 上传 SAST 报告 uses: actions/upload-artifact@v4 with: name: sast-reports path: | semgrep-results.* bandit-report.* # ── 阶段2：依赖漏洞扫描 ── dependency-scan: name: "依赖漏洞扫描" runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 - name: Trivy 文件系统扫描 uses: aquasecurity/trivy-action@master with: scan-type: fs scan-ref: . format: sarif output: trivy-results.sarif severity: CRITICAL,HIGH exit-code: 1 # 发现 CRITICAL/HIGH 漏洞时阻断 - name: OSV-Scanner uses: google/osv-scanner-action@v1 with: scan-args: '--recursive --fail-on-any-vulnerability .' - name: 上传依赖报告 uses: actions/upload-artifact@v4 with: name: dependency-reports path: | trivy-results.* osv-results.* # ── 阶段3：密钥检测 ── secret-detection: name: "密钥与凭证检测" runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 with: fetch-depth: 0 - name: GitLeaks 扫描 uses: gitleaks/gitleaks-action@v2 env: GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }} - name: TruffleHog 深度扫描 uses: trufflesecurity/trufflehog@v3 with: extra_args: --only-verified --fail # ── 阶段4：安全报告 ── security-report: name: "汇总安全报告" needs: [sast-scan, dependency-scan, secret-detection] if: always() # 即使前面失败也执行 runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 - name: 下载所有报告 uses: actions/download-artifact@v4 - name: 生成汇总报告 run: | echo "# 安全扫描汇总报告" > SECURITY_REPORT.md echo "| 扫描类型 | 状态 | 发现 |" >> SECURITY_REPORT.md echo "|---|---|---|" >> SECURITY_REPORT.md echo "| SAST 扫描 | ${{ needs.sast-scan.result }} | 查看报告 |" >> SECURITY_REPORT.md echo "| 依赖扫描 | ${{ needs.dependency-scan.result }} | 查看报告 |" >> SECURITY_REPORT.md echo "| 密钥检测 | ${{ needs.secret-detection.result }} | 查看报告 |" >> SECURITY_REPORT.md - name: 上传汇总报告 uses: actions/upload-artifact@v4 with: name: security-summary path: SECURITY_REPORT.md

# ── 安全门禁规则 ── # 阻断规则（满足任一即阻断流水线） BLOCKING_RULES: - rule: "CRITICAL 漏洞不允许进入 staging 分支" condition: trivy --severity=CRITICAL --exit-code=1 branches: [staging, release/*] - rule: "HIGH 漏洞不允许进入 production 分支" condition: trivy --severity=HIGH --exit-code=1 branches: [main, production] - rule: "密钥泄露自动阻断任何分支" condition: gitleaks detect --verbose --exit-code=1 branches: ["*"] - rule: "SAST ERROR 级别问题阻断合并" condition: semgrep --severity=ERROR --error branches: [main, develop, release/*] # ── 例外管理流程 ── # 当需要跳过某个安全规则时，需要： # 1. 创建一个 issue 说明安全例外理由 # 2. 获得安全团队的批准 # 3. 在 commit message 中添加安全例外标记: # SECURITY_EXCEPTION: # 4. 有效期为 7 天，到期自动关闭

# ── 将安全报告转为 SARIF 格式 ── # 上传到 GitHub Security Tab - name: Upload Semgrep SARIF uses: github/codeql-action/upload-sarif@v3 with: sarif_file: semgrep-results.sarif category: semgrep - name: Upload Trivy SARIF uses: github/codeql-action/upload-sarif@v3 with: sarif_file: trivy-results.sarif category: trivy - name: Upload CodeQL SARIF uses: github/codeql-action/upload-sarif@v3 with: sarif_file: codeql-results.sarif category: codeql # ── 自定义 SARIF 生成脚本 ── import json import datetime def generate_sarif_report(findings, tool_name, tool_version): """生成符合 SARIF 规范的安全报告""" sarif = { "$schema": "https://json.schemastore.org/sarif-2.1.0.json", "version": "2.1.0", "runs": [{ "tool": { "driver": { "name": tool_name, "version": tool_version, "informationUri": f"https://github.com/{tool_name}" } }, "results": [], "artifacts": [], "columnKind": "utf16CodeUnits", }] } for i, finding in enumerate(findings): result = { "ruleId": finding.get("rule_id", f"{tool_name}-{i}"), "level": finding.get("severity", "warning").lower(), "message": {"text": finding.get("message", "")}, "locations": [{ "physicalLocation": { "artifactLocation": {"uri": finding.get("file", "")}, "region": { "startLine": finding.get("line", 1), "endLine": finding.get("end_line", finding.get("line", 1)), } } }] } sarif["runs"][0]["results"].append(result) return sarif

# ── 安全合规验证脚本 ── #!/bin/bash # compliance-check.sh — 安全合规验证 check_compliance() { local framework="$1" local report="compliance-${framework}-$(date +%Y%m%d).md" cat > "$report" << HEADER # 安全合规检查报告: $framework # 检查时间: $(date '+%Y-%m-%d %H:%M:%S') # 项目: $(git remote get-url origin) ## 检查项目概览 HEADER case "$framework" in "owasp-top10") echo "- [${CRITICAL_PASS:+✓}${CRITICAL_FAIL:+✗}] A01: 访问控制失效 - $(check_access_control)" >> "$report" echo "- [${CRITICAL_PASS:+✓}${CRITICAL_FAIL:+✗}] A02: 加密机制失效 - $(check_encryption)" >> "$report" echo "- [${CRITICAL_PASS:+✓}${CRITICAL_FAIL:+✗}] A03: 注入攻击 - $(check_injection)" >> "$report" # ... 其他检查项 ;; "pci-dss") echo "- [ ] 要求1: 防火墙配置 - $(check_firewall)" >> "$report" echo "- [ ] 要求2: 默认密码 - $(check_default_passwords)" >> "$report" echo "- [ ] 要求3: 持卡人数据保护 - $(check_cardholder_data)" >> "$report" ;; "hipaa") echo "- [ ] 管理 safeguard - $(check_admin_safeguards)" >> "$report" echo "- [ ] 技术 safeguard - $(check_tech_safeguards)" >> "$report" ;; esac echo "合规报告已生成: $report" } # ── 审计日志记录 ── audit_log() { local action="$1" local status="$2" local details="$3" local timestamp=$(date '+%Y-%m-%d %H:%M:%S') local user=$(git config user.name 2>/dev/null || echo "unknown") local commit=$(git rev-parse HEAD 2>/dev/null || echo "no-commit") echo "[$timestamp] [$user] [$commit] [$action] [$status] $details" >> .security-audit.log # 同时也输出 JSON 格式用于自动化处理 echo "{\"timestamp\":\"$timestamp\",\"user\":\"$user\",\"commit\":\"$commit\",\"action\":\"$action\",\"status\":\"$status\",\"details\":\"$details\"}" >> .security-audit.json } # 使用示例 # audit_log "SAST_SCAN" "PASS" "Semgrep scan completed with 0 errors" # audit_log "DEPENDENCY_SCAN" "FAIL" "Trivy found 2 CRITICAL vulnerabilities in lodash"

# ── 安全基线配置文件 .security-baseline.yml ── baseline: version: "1.0.0" created: "2026-01-15" last_reviewed: "2026-05-01" # ── SAST 基线 ── sast: enabled: true tools: [semgrep, bandit] max_allowed_errors: 0 max_allowed_warnings: 10 excluded_paths: - "tests/**" - "**/migrations/**" - "**/vendor/**" # ── 依赖扫描基线 ── dependency: enabled: true tools: [trivy, osv-scanner] max_allowed_critical: 0 max_allowed_high: 2 # 允许有限的高危漏洞，需在例外列表中说明 max_allowed_medium: 10 auto_fix: true # ── 密钥检测基线 ── secrets: enabled: true tools: [gitleaks, talisman] block_on_any: true # 任何密钥检测结果都阻断提交 allowlist: - path: "test/fixtures/**" reason: "测试夹具包含模拟凭证" - path: "docs/examples/**" reason: "文档示例使用占位符凭证" # ── 安全例外申请模板 ── SECURITY_EXCEPTION_TEMPLATE: issue: title: "安全例外申请: [简要描述]" labels: ["security-exception", "security"] body: | ## 安全例外申请 **申请人:** [你的名字] **日期:** YYYY-MM-DD **到期日期:** YYYY-MM-DD (申请后7天) **规则ID:** [规则ID] **例外类型:** - [ ] 允许特定 CVE 延迟修复 - [ ] 跳过特定文件的安全扫描 - [ ] 放宽特定规则的严重性等级 **理由说明:** [详细说明为什么需要此例外] **缓解措施:** [在修复完成前的临时缓解方案] **批准人:** [安全团队负责人签名]

# CLAUDE.md — 安全审计项目规则 # 此文件配置 Claude Code 在项目中的安全审计行为 ## 安全审计规则 ### 编码约束 - 所有数据库查询必须使用参数化查询，禁止字符串拼接 SQL - 密码存储必须使用 bcrypt 或 Argon2 哈希，禁止明文存储 - 用户输入必须经过验证和净化，禁止直接信任用户输入 - 所有 API 端点必须实施认证和授权检查 - 敏感配置必须通过环境变量注入，禁止硬编码 - 日志不得包含密码、密钥、个人身份信息 ### 代码审查 checklist 每次审查代码时，Claude 必须检查以下安全要点： 1. 是否存在注入漏洞（SQL、命令、NoSQL） 2. 认证机制是否完善（会话管理、Token 验证） 3. 访问控制是否到位（权限校验、角色检查） 4. 敏感数据是否保护（加密存储、HTTPS传输） 5. 是否存在 XSS 漏洞（输出编码、CSP） 6. 是否存在 CSRF 漏洞（Token验证、SameSite Cookie） 7. 第三方依赖是否存在已知漏洞 8. 是否泄露了密钥或凭证 9. 错误处理是否泄露敏感信息 10. 日志记录是否合规 ### 安全扫描命令 - SAST 扫描: semgrep --config=auto --severity=ERROR,WARNING . - 依赖扫描: trivy fs --severity=CRITICAL,HIGH . - 密钥检测: gitleaks detect --verbose - 完整扫描: pre-commit run --all-files ### 阻断规则 - 检测到 SQL 注入：必须立即修复，代码不允许合并 - 检测到硬编码密钥：必须立即移除，代码不允许提交 - 检测到 CRITICAL 漏洞：必须修复后再合并 - 检测到敏感信息日志：必须清除后再提交 ### 自动修复流程 当发现安全问题时，Claude 应按以下优先级处理： 1. 立即阻止不安全代码提交 2. 提供安全的替代实现 3. 解释安全风险和攻击向量 4. 建议额外的安全加固措施

# ── 场景：请求 Claude 审查代码 ── # 用户提问："审查这段代码的安全性问题" # def login(username, password): # query = f"SELECT * FROM users WHERE username='{username}'" # user = db.execute(query) # if user.password == password: # return create_session(user.id) # ── Claude 的安全审计响应（受 CLAUDE.md 规则驱动）── # ⚠️ 发现以下安全问题： # 1. [CRITICAL] SQL 注入漏洞 # 行2: 使用 f-string 拼接 SQL 查询 # 修复: 使用参数化查询 # 正确写法: # query = "SELECT * FROM users WHERE username = %s" # user = db.execute(query, (username,)) # 2. [CRITICAL] 明文密码比较 # 行4: user.password == password # 修复: 使用密码哈希比较 # 正确写法: # from werkzeug.security import check_password_hash # if check_password_hash(user.password_hash, password): # 3. [HIGH] 缺少速率限制 # 登录接口应该实施速率限制防止暴力破解 # 4. [MEDIUM] 缺少日志记录 # 应记录登录成功/失败事件用于安全审计 # 5. [LOW] 密码错误信息过于具体 # 应统一返回 "用户名或密码错误"，避免枚举攻击