Compare commits
9 Commits
| Author | SHA1 | Date | |
|---|---|---|---|
 代码审计
|
b4890da58c | ||
|
代码审计
|
a141cd56ff | ||
|
代码审计
|
90f3c0694c | ||
|
代码审计
|
10cb082560 | ||
 xiaoxia
|
cd66aace5b | ||
|
xiaoxia
|
e9ad12e072 | ||
|
xiaoxia
|
e557da4d98 | ||
|
xiaoxia
|
cef402f88d | ||
|
xiaoxia
|
c29297a032 |
@@ -84,6 +84,104 @@ jobs:
|
||||
python3 -m pip --version
|
||||
echo "CI environment is ready"
|
||||
|
||||
|
||||
- name: Secret detection (gitleaks)
|
||||
shell: sh
|
||||
run: |
|
||||
set -eu
|
||||
echo "=== Installing gitleaks ==="
|
||||
GITLEAKS_VERSION="v8.18.4"
|
||||
GITLEAKS_ARCH="linux_x64"
|
||||
GITLEAKS_FILE="gitleaks_${GITLEAKS_VERSION#v}_${GITLEAKS_ARCH}.tar.gz"
|
||||
GITHUB_BASE="https://github.com/gitleaks/gitleaks/releases/download/${GITLEAKS_VERSION}/${GITLEAKS_FILE}"
|
||||
|
||||
# 国内镜像源（按大致稳定性排序）
|
||||
MIRRORS="
|
||||
https://gh-proxy.com/${GITHUB_BASE}
|
||||
https://ghproxy.net/${GITHUB_BASE}
|
||||
https://hub.gitmirror.com/${GITHUB_BASE}
|
||||
https://ghps.cc/${GITHUB_BASE}
|
||||
https://mirror.ghproxy.com/${GITHUB_BASE}
|
||||
${GITHUB_BASE}
|
||||
"
|
||||
|
||||
INSTALLED=false
|
||||
for url in $MIRRORS; do
|
||||
echo "Trying: $url"
|
||||
if curl -fsSL --connect-timeout 8 --max-time 90 --retry 2 --retry-delay 3 \
|
||||
-o /tmp/gitleaks.tar.gz "$url" 2>/dev/null; then
|
||||
echo "Download successful from: $url"
|
||||
if tar -xzf /tmp/gitleaks.tar.gz -C /tmp gitleaks 2>/dev/null; then
|
||||
chmod +x /tmp/gitleaks
|
||||
/tmp/gitleaks version
|
||||
INSTALLED=true
|
||||
break
|
||||
else
|
||||
echo "Download OK but tar extraction failed, trying next..."
|
||||
fi
|
||||
else
|
||||
echo "Download failed from: $url, trying next..."
|
||||
fi
|
||||
done
|
||||
|
||||
# Fallback: 尝试 go install 从源码编译
|
||||
if [ "$INSTALLED" = "false" ] && command -v go >/dev/null 2>&1; then
|
||||
echo "All binary mirrors failed, trying go install..."
|
||||
if go install github.com/gitleaks/gitleaks/v8@${GITLEAKS_VERSION} 2>/dev/null; then
|
||||
GOPATH_BIN="$(go env GOPATH)/bin"
|
||||
if [ -x "$GOPATH_BIN/gitleaks" ]; then
|
||||
cp "$GOPATH_BIN/gitleaks" /tmp/gitleaks
|
||||
chmod +x /tmp/gitleaks
|
||||
/tmp/gitleaks version
|
||||
INSTALLED=true
|
||||
echo "Installed via go install"
|
||||
fi
|
||||
fi
|
||||
fi
|
||||
|
||||
if [ "$INSTALLED" = "false" ]; then
|
||||
echo "WARNING: Failed to install gitleaks from all sources"
|
||||
echo "gitleaks 安装失败，密钥检测跳过（告警模式，不阻断流水线）"
|
||||
echo "请检查Runner网络或手动安装gitleaks到Runner"
|
||||
exit 0
|
||||
fi
|
||||
echo ""
|
||||
echo "=== Running gitleaks scan ==="
|
||||
if [ "${{ github.event_name }}" = "pull_request" ]; then
|
||||
echo "PR mode: scanning changed files (origin/${{ github.base_ref }}..HEAD)"
|
||||
set +e
|
||||
/tmp/gitleaks detect \
|
||||
--source . \
|
||||
--config .gitleaks.toml \
|
||||
--verbose \
|
||||
--exit-code 1 \
|
||||
--log-opts="origin/${{ github.base_ref }}..HEAD"
|
||||
GITLEAKS_EXIT=$?
|
||||
set -e
|
||||
else
|
||||
echo "Push mode: full repository scan"
|
||||
set +e
|
||||
/tmp/gitleaks detect \
|
||||
--source . \
|
||||
--config .gitleaks.toml \
|
||||
--verbose \
|
||||
--exit-code 1
|
||||
GITLEAKS_EXIT=$?
|
||||
set -e
|
||||
fi
|
||||
if [ "$GITLEAKS_EXIT" = "1" ]; then
|
||||
echo ""
|
||||
echo "=========================================="
|
||||
echo "ERROR: Secrets detected!"
|
||||
echo "=========================================="
|
||||
echo "If these are false positives, add them to .gitleaks.toml allowlist."
|
||||
exit 1
|
||||
elif [ "$GITLEAKS_EXIT" != "0" ]; then
|
||||
echo "WARNING: gitleaks exited with code $GITLEAKS_EXIT (non-zero but not detection failure)"
|
||||
echo "This may indicate a configuration issue. Continuing for now..."
|
||||
else
|
||||
echo "gitleaks scan completed - no secrets detected"
|
||||
fi
|
||||
- name: Install dependencies
|
||||
shell: sh
|
||||
run: |
|
||||
@@ -97,6 +195,38 @@ jobs:
|
||||
bandit --version
|
||||
pytest --version
|
||||
|
||||
|
||||
- name: Python dependency vulnerability scan (pip-audit)
|
||||
shell: sh
|
||||
run: |
|
||||
set -eu
|
||||
echo "=== Installing pip-audit ==="
|
||||
python3 -m pip install -q pip-audit
|
||||
pip-audit --version
|
||||
echo ""
|
||||
echo "=== Scanning Python dependencies ==="
|
||||
set +e
|
||||
HAS_VULN=0
|
||||
for req_file in requirements.txt requirements-base.txt requirements-dev.txt requirements-worker.txt; do
|
||||
if [ -f "$req_file" ]; then
|
||||
echo "--- Scanning $req_file ---"
|
||||
pip-audit -r "$req_file" --desc on 2>&1 | head -30
|
||||
EXIT_CODE=${PIPESTATUS[0]:-0}
|
||||
if [ "$EXIT_CODE" = "1" ]; then
|
||||
HAS_VULN=1
|
||||
fi
|
||||
echo ""
|
||||
fi
|
||||
done
|
||||
set -e
|
||||
echo "=== Summary ==="
|
||||
if [ "$HAS_VULN" = "1" ]; then
|
||||
echo "WARNING: Vulnerabilities found in dependencies."
|
||||
else
|
||||
echo "No known vulnerabilities found in scanned requirements."
|
||||
fi
|
||||
echo "Mode: advisory only (not blocking CI)"
|
||||
exit 0
|
||||
- name: Run code quality checks
|
||||
shell: sh
|
||||
run: |
|
||||
|
||||
@@ -0,0 +1,71 @@
|
||||
# .gitleaks.toml - gitleaks 白名单配置
|
||||
# 仓库: xiaoxia/xiaoxia-saas
|
||||
# 用途: 排除已知的测试密钥、示例配置等误报
|
||||
# 注意: paths 使用正则表达式(Regex)，不是 glob 语法
|
||||
|
||||
# 允许路径/文件排除
|
||||
[allowlist]
|
||||
description = "全局白名单 - 排除示例配置和测试文件"
|
||||
paths = [
|
||||
# 环境配置示例（无真实密钥）
|
||||
'.env.example',
|
||||
'.env.sample',
|
||||
'\.env\.example$',
|
||||
'\.env\.sample$',
|
||||
# 测试文件
|
||||
'tests/',
|
||||
'test/',
|
||||
# 文档
|
||||
'docs/',
|
||||
'\.md$',
|
||||
'\.rst$',
|
||||
# 前端依赖
|
||||
'node_modules/',
|
||||
# Python包
|
||||
'site-packages/',
|
||||
# 锁定文件（自动生成）
|
||||
'poetry.lock',
|
||||
'Pipfile.lock',
|
||||
'requirements.*\.txt\.lock',
|
||||
# CI配置本身
|
||||
'.gitea/',
|
||||
# Docker相关
|
||||
'docker-compose.*\.yml',
|
||||
# gitleaks配置自身
|
||||
'.gitleaks.toml',
|
||||
# vulture配置
|
||||
'vulture.conf',
|
||||
'vulture_whitelist.py',
|
||||
# 前端构建产物
|
||||
'dist/',
|
||||
'build/',
|
||||
# 图片/二进制文件
|
||||
'\.png$',
|
||||
'\.jpg$',
|
||||
'\.jpeg$',
|
||||
'\.gif$',
|
||||
'\.ico$',
|
||||
'\.svg$',
|
||||
'\.woff$',
|
||||
'\.woff2$',
|
||||
'\.ttf$',
|
||||
# 项目文档
|
||||
'README',
|
||||
'CHANGELOG',
|
||||
'LICENSE',
|
||||
]
|
||||
|
||||
# 允许的密钥值/占位符正则
|
||||
# 使用三引号字符串避免引号转义问题
|
||||
regexes = [
|
||||
'''(?i)(your[_-]?password|your[_-]?secret|your[_-]?key|your[_-]?token|changeme|change[_-]?me|placeholder|example[_-]?key|test[_-]?key|dummy|fake|mock|xxx|none|not[_-]?set|TODO|FIXME)''',
|
||||
'''postgresql://[^:]+:changeme@''',
|
||||
'''postgresql://[^:]+:your-password@''',
|
||||
'''postgresql://[^:]+:password@localhost''',
|
||||
'''redis://:changeme@''',
|
||||
'''redis://:your-redis-password@''',
|
||||
'''(?i)jwt[_-]?secret\s*[:=]\s*["']?(your[_-]?jwt|change|placeholder|secret|example)''',
|
||||
'''postgresql://postgres:postgres@''',
|
||||
'''redis://localhost''',
|
||||
'''mysql://root:root@''',
|
||||
]
|
||||
@@ -0,0 +1,137 @@
|
||||
# 首次安全扫描简报
|
||||
|
||||
> 仓库: xiaoxia/xiaoxia-saas
|
||||
> 扫描时间: 2026-07-13
|
||||
> 负责人: 代码审计 Agent
|
||||
> 状态: CI 排队中（Runner 环境修复中），gitleaks 下载链路二次优化已提交，待 CI 跑通后获取真实扫描数据
|
||||
|
||||
## 一、概览
|
||||
|
||||
| 工具 | 优先级 | PR | 接入状态 | CI 验证 | 扫描结果 |
|
||||
|---|---|---|---|---|---|
|
||||
| gitleaks（密钥检测） | P0 | [#256](https://git.xiaoxiajianji.com/xiaoxia/xiaoxia-saas/pulls/256) | ✅ 二次优化提交 | 🕐 CI 排队中 | 待验证 |
|
||||
| pip-audit（Python 依赖漏洞） | P1 | [#256](https://git.xiaoxiajianji.com/xiaoxia/xiaoxia-saas/pulls/256) | ✅ 代码已提交 | 🕐 CI 排队中 | 待验证 |
|
||||
| vulture（死代码检测） | P2 | [#259](https://git.xiaoxiajianji.com/xiaoxia/xiaoxia-saas/pulls/259) | ✅ 代码已提交 | 🕐 等待 black 修复 + CI 排队 | 待验证 |
|
||||
|
||||
## 二、各工具详情
|
||||
|
||||
### 1. gitleaks 密钥检测（P0）
|
||||
|
||||
**接入配置**
|
||||
- 位置：validate Job 第 3 步（Verify CI environment 之后）
|
||||
- PR 模式：增量扫描（`--log-opts="origin/base..HEAD"`），只扫描改动文件
|
||||
- Push 模式：全量扫描
|
||||
- 阻断策略：发现密钥直接阻断合并（exit code 1）
|
||||
- 白名单：`.gitleaks.toml`，排除以下路径/内容：
|
||||
- `.env.example`、示例配置文件
|
||||
- `tests/`、`docs/`、`node_modules/`、`site-packages/`
|
||||
- 锁定文件（poetry.lock 等）
|
||||
- 占位符字符串（`your-password`、`changeme`、`placeholder` 等）
|
||||
|
||||
**下载问题（第二轮修复已提交）**
|
||||
- 第一轮修复（ghproxy + 99988866 + GitHub 直连）：全部失败
|
||||
- `mirror.ghproxy.com`: 连接超时（7.7s）
|
||||
- `gh.api.99988866.xyz`: SSL 握手失败
|
||||
- GitHub 直连: 120s 超时，仅下载 1.6MB/2.9MB
|
||||
- 第二轮修复（6 个镜像 + go install 降级）：
|
||||
- 新增 4 个国内镜像：`gh-proxy.com`、`ghproxy.net`、`hub.gitmirror.com`、`ghps.cc`
|
||||
- 每个镜像重试 2 次，connect-timeout 8s，max-time 90s
|
||||
- 增加 `go install` 源码编译降级方案
|
||||
- 全部失败时告警跳过（不阻断 CI），避免阻塞开发流程
|
||||
- 修复 commit：`fix(ci): add more Chinese mirrors for gitleaks download + graceful degradation`
|
||||
|
||||
**长期建议**：在 Runner 镜像中预装 gitleaks 二进制，彻底避免下载问题
|
||||
|
||||
**CI 状态**
|
||||
- 当前状态：大量 CI 任务排队中（9 个 Runner 在线但任务堆积）
|
||||
- 历史失败 Run #4071（旧 Runner）：gitleaks 下载失败（见上）
|
||||
- 历史失败 Run #4075（新 Runner）：Job in_progress 但步骤全 queued（新 Runner 执行环境问题）
|
||||
- 最新 Run #4096：queued 状态，等待执行
|
||||
- 构建运维 Agent 正在修复：Runner 标签匹配 + 新 Runner 执行环境 + 并发优化
|
||||
|
||||
### 2. pip-audit Python 依赖漏洞扫描（P1）
|
||||
|
||||
**接入配置**
|
||||
- 位置：validate Job 第 5 步（Install dependencies 之后）
|
||||
- 扫描范围：`requirements.txt`、`requirements-base.txt`、`requirements-dev.txt`、`requirements-worker.txt`
|
||||
- 数据源：OSV（PyPA 官方推荐）
|
||||
- 阻断策略：告警模式，不阻断 CI
|
||||
- 计划：运行 1-2 周摸清漏洞存量后，按严重等级设置阻断阈值
|
||||
|
||||
**CI 状态**
|
||||
- 同 PR #256，因 Runner 卡住暂未执行
|
||||
|
||||
### 3. vulture 死代码检测（P2）
|
||||
|
||||
**接入配置**
|
||||
- 位置：validate Job，Run security scan (bandit) 之后
|
||||
- 置信度阈值：80%
|
||||
- 扫描范围：`alembic/`、`apps/`、`packages/`、`scripts/`
|
||||
- 排除：测试文件、迁移文件、文档、node_modules、site-packages
|
||||
- 白名单：框架自动调用代码
|
||||
- FastAPI routes / dependencies / middleware
|
||||
- SQLAlchemy models / Pydantic schemas
|
||||
- Celery tasks
|
||||
- Alembic migration functions
|
||||
- CLI scripts / 工具函数
|
||||
- 阻断策略：告警模式，不阻断 CI
|
||||
|
||||
**CI 状态**
|
||||
- Workflow Run #4054
|
||||
- 失败原因：`scripts/check_migration_safety.py` 不符合 black 格式
|
||||
```
|
||||
would reformat scripts/check_migration_safety.py
|
||||
1 file would be reformatted, 376 files would be left unchanged.
|
||||
```
|
||||
- 说明：非 vulture 引入的问题（vulture 步骤还没执行到），是其他 Agent 修改了迁移安全检查脚本但没跑 black 格式化
|
||||
- 建议：后端开发 Agent 在迁移安全 PR 中同步修复 black 格式问题
|
||||
|
||||
## 三、PR #264（前端清理）安全审查
|
||||
|
||||
**审查结论：✅ 无安全风险，可合并**
|
||||
|
||||
**审查范围**：PR #264 `cleanup/phase3-frontend` → `develop`，6 个文件变更（+261/-1359 行）
|
||||
|
||||
**检查项**：
|
||||
| 检查项 | 结果 | 说明 |
|
||||
|---|---|---|
|
||||
| 危险 DOM 操作（innerHTML/eval 等） | ✅ 通过 | 未发现 dangerouslySetInnerHTML、eval、document.write 等 |
|
||||
| 硬编码密钥/Token | ✅ 通过 | 未发现 API Key、Secret、Password 等硬编码 |
|
||||
| 本地存储操作（localStorage 等） | ✅ 通过 | 未新增本地存储操作 |
|
||||
| 开放重定向漏洞 | ✅ 通过 | 未新增 window.location / redirect 操作 |
|
||||
| 新增第三方依赖 | ✅ 通过 | 仅新增 `@ant-design/icons` 的 DatabaseOutlined 图标 |
|
||||
| 删除文件安全性 | ✅ 通过 | 删除 `apps/web/src/api/accounts.ts`（Mock API 文件），无安全影响 |
|
||||
|
||||
**核心变更性质**：
|
||||
- 删除 Mock 数据（accounts.ts），替换为真实 API 调用或占位
|
||||
- 清理 Admin.css 冗余样式（-460 行）
|
||||
- Dashboard / GeneratePage / TitleLibrary 页面 Mock 替换为真实数据调用
|
||||
- 整体净删除 1098 行，代码量减少，攻击面缩小
|
||||
|
||||
## 四、发现的其他 CI 问题
|
||||
|
||||
### Runner 环境问题
|
||||
1. **新服务器 Runner 卡住**：`xiaoxia-ci-runner-new-2` 上的 Job 一直停留在 queued 状态，无法执行步骤
|
||||
2. **Unit Tests 快速失败**：Unit Tests Job 18 秒就失败了，可能是环境/依赖问题，非代码问题
|
||||
3. **Integration Tests 快速失败**：24 秒失败，同样可能是环境问题
|
||||
|
||||
### 代码质量预存问题
|
||||
1. `scripts/check_migration_safety.py` 不符合 black 格式（可能是后端开发刚改动过）
|
||||
|
||||
## 五、下一步计划
|
||||
|
||||
1. **等待 CI 环境修复**：构建运维修复 Runner 标签匹配 + 执行环境 + 并发配置后，CI 才能正常运行
|
||||
2. **收集首次扫描数据**：CI 跑通后，第一时间整理 gitleaks / pip-audit / vulture 的首次真实扫描结果
|
||||
3. **根据结果调优白名单**：如有误报，及时更新 `.gitleaks.toml` 和 `vulture_whitelist.py`
|
||||
4. **跟进 PR #259 black 格式问题**：等待后端开发修复 `check_migration_safety.py` 后 rebase 验证 vulture
|
||||
5. **推动 gitleaks 预装**：建议在 Runner 镜像中预装 gitleaks，彻底规避下载链路问题
|
||||
6. **推进 npm audit**：前端开发 PR #260 已提交 npm audit，等待 CI 验证
|
||||
7. **PR #264 合并**：安全审查通过，CI 跑通后可合并
|
||||
|
||||
## 六、相关文档
|
||||
|
||||
- [安全工具接入方案](docs/ci/代码安全扫描CI集成方案_report.md)
|
||||
- [安全工具路线图](docs/ci/security-scanning-roadmap.md)
|
||||
- [gitleaks 白名单配置](../.gitleaks.toml)
|
||||
- [vulture 配置](../vulture.conf)
|
||||
- [vulture 白名单](../vulture_whitelist.py)
|
||||
@@ -0,0 +1,105 @@
|
||||
# 安全与质量扫描工具接入路线图
|
||||
|
||||
> 仓库: xiaoxia/xiaoxia-saas
|
||||
> 更新时间: 2026-07-13
|
||||
> 负责人: 代码审计 Agent
|
||||
|
||||
## 整体概览
|
||||
|
||||
```
|
||||
Phase 0 (已完成) Phase 1 (进行中) Phase 2 (规划中) Phase 3 (远期)
|
||||
───────────── ────────────── ───────────── ────────────
|
||||
bandit gitleaks (P0) npm audit (P1) mypy (类型检查)
|
||||
(已存在) pip-audit (P1) vulture (P2) semgrep (SAST)
|
||||
迁移安全检查 依赖自动更新
|
||||
License 合规
|
||||
```
|
||||
|
||||
## 各阶段详情
|
||||
|
||||
### Phase 0: 基线能力（已存在）
|
||||
|
||||
| 工具 | 类型 | 状态 | 说明 |
|
||||
|---|---|---|---|
|
||||
| bandit | Python 代码安全审计 | ✅ 已接入 | validate Job 中运行，`-ll` 级别，阻断模式 |
|
||||
| black | 代码格式化 | ✅ 已接入 | `--check --fast` 模式，阻断模式 |
|
||||
| isort | 导入排序 | ✅ 已接入 | `--check-only` 模式，阻断模式 |
|
||||
| flake8 | 代码风格 | ✅ 已接入 | 阻断模式 |
|
||||
| compileall | 语法检查 | ✅ 已接入 | Python 编译检查 |
|
||||
|
||||
### Phase 1: 安全基础（进行中 / P0-P1）
|
||||
|
||||
预计完成时间：2026-07-13 ~ 2026-07-14
|
||||
|
||||
#### P0: gitleaks 密钥检测
|
||||
- **状态**: ✅ PR 已提交 ([PR #256](https://git.xiaoxiajianji.com/xiaoxia/xiaoxia-saas/pulls/256))，CI 验证中
|
||||
- **接入位置**: validate Job（最前面，快速反馈）
|
||||
- **扫描模式**:
|
||||
- PR 触发：增量扫描（只扫改动文件）
|
||||
- 主分支 push：全量扫描
|
||||
- **阻断策略**: 发现密钥直接阻断合并
|
||||
- **配置文件**: `.gitleaks.toml`（白名单排除示例配置、测试文件等）
|
||||
- **预估收益**: 防止 API Key、密码、Token 等敏感信息泄露
|
||||
|
||||
#### P1: pip-audit Python 依赖漏洞扫描
|
||||
- **状态**: ✅ PR 已提交（同 PR #256），CI 验证中
|
||||
- **接入位置**: validate Job（依赖安装后）
|
||||
- **扫描范围**: 全部 4 个 requirements 文件
|
||||
- **数据源**: OSV（PyPA 官方推荐）
|
||||
- **阻断策略**: 告警模式（初期不阻断）
|
||||
- 运行 1-2 周摸清漏洞存量
|
||||
- 评估后根据严重程度设置阻断阈值（HIGH/CRITICAL 阻断）
|
||||
- **预估收益**: 及时发现 Python 依赖中的 CVE 漏洞
|
||||
|
||||
### Phase 2: 质量与前端安全（P1-P2）
|
||||
|
||||
预计启动时间：Phase 1 稳定后（约 2026-07-15 ~ 2026-07-18）
|
||||
|
||||
#### P1: npm audit 前端依赖漏洞扫描
|
||||
- **状态**: 📋 规划中（前端开发负责）
|
||||
- **接入位置**: frontend-lint Job
|
||||
- **扫描范围**: `package.json` / `package-lock.json`
|
||||
- **初始阈值**: `--audit-level=high`
|
||||
- **阻断策略**: 告警模式（初期不阻断）
|
||||
- **相关 PR**: PR#255（前端缓存优化）后续接入
|
||||
|
||||
#### P2: vulture 死代码检测
|
||||
- **状态**: ✅ PR 已提交 ([PR #259](https://git.xiaoxiajianji.com/xiaoxia/xiaoxia-saas/pull/259))
|
||||
- **接入位置**: validate Job（安全扫描之后）
|
||||
- **置信度阈值**: 80%（逐步调高）
|
||||
- **扫描范围**: `alembic` / `apps` / `packages` / `scripts`
|
||||
- **白名单**: 框架自动调用代码（FastAPI routes、SQLAlchemy models、Celery tasks 等）
|
||||
- **阻断策略**: 告警模式（不阻断）
|
||||
- 运行 1-2 周统计死代码存量
|
||||
- 分批清理确认的死代码
|
||||
- 稳定后逐步提高置信度并考虑阻断
|
||||
- **预估收益**: 减少维护负担，降低安全攻击面
|
||||
|
||||
### Phase 3: 深度质量（远期规划）
|
||||
|
||||
预计启动时间：Phase 2 完成后（约 2026-07 下旬）
|
||||
|
||||
| 工具 | 类型 | 优先级 | 说明 |
|
||||
|---|---|---|---|
|
||||
| mypy | 类型检查 | P1 | 先宽松模式，逐步收紧，提升代码质量 |
|
||||
| semgrep | SAST 静态分析 | P2 | 自定义规则集，检测特定安全模式 |
|
||||
| 依赖自动更新 | 依赖管理 | P2 | Dependabot / Renovate，自动更新依赖版本 |
|
||||
| License 合规 | 合规检查 | P3 | 检查第三方依赖的 License 是否合规 |
|
||||
|
||||
## 接入原则
|
||||
|
||||
1. **先告警后阻断**：新工具初期一律告警模式，摸清存量后再设阈值
|
||||
2. **增量优先**：PR 阶段增量扫描，主分支全量扫描，平衡速度与覆盖
|
||||
3. **白名单先行**：提前配置好合理的白名单，减少误报干扰
|
||||
4. **分层递进**：P0 → P1 → P2 → P3，按优先级逐步接入
|
||||
5. **文档同步**：每个工具接入都同步更新接入方案和最佳实践
|
||||
|
||||
## 进度跟踪
|
||||
|
||||
| 阶段 | 工具 | PR | 状态 | 备注 |
|
||||
|---|---|---|---|---|
|
||||
| Phase 1 | gitleaks | #256 | 🟡 CI 验证中 | 国内镜像下载修复已提交 |
|
||||
| Phase 1 | pip-audit | #256 | 🟡 CI 验证中 | 告警模式 |
|
||||
| Phase 2 | vulture | #259 | 🟡 等待 CI | 80% 置信度，告警模式 |
|
||||
| Phase 2 | npm audit | - | 📋 规划中 | 前端开发负责 |
|
||||
| Phase 3 | mypy | - | 📋 规划中 | 后端开发负责（同迁移安全 PR） |
|
||||
Reference in New Issue
Block a user