Security（06）：安全开发——安全编码、依赖扫描、漏洞管理、DevSecOps

更新时间：2026-09-02。本文是 security/ Security 领域第 06 篇，接零信任。安全不只是安全团队的事，开发团队也要把安全融入开发流程。DevSecOps 就是"左移"，把安全检查放到 CI/CD 流水线，开发阶段就发现漏洞，不要等到上线后才发现。

本文要回答的问题

什么是 DevSecOps？为什么要左移？
SAST/DAST/IAST/SCA 区别是什么？各做什么？
安全编码有哪些常见坑？怎么避免？
依赖漏洞怎么管理？NPM/PyPI/Maven 依赖怎么扫？
漏洞生命周期怎么管？发现→修复→验证→闭环？

一、DevSecOps 与安全左移

传统流程：开发 → 测试 → 上线 → 安全团队做渗透测试
问题：发现漏洞太晚，修复成本高

DevSecOps：安全融入开发流程，每个环节都有安全检查

开发 → SAST 扫描 → CI → SCA 依赖扫描 → 部署 → DAST 扫描 → 上线 → IAST 动态检测

左移： 越早在开发阶段发现漏洞，修复成本越低。据统计，上线后发现漏洞修复成本比开发阶段高 100 倍。

DevSecOps 核心：

开发对安全负责，不是只推给安全团队
自动化安全检查，集成到 CI/CD
快速反馈，漏洞推给开发，不阻塞流水线（严重漏洞阻断）
持续监控，上线后继续检测

二、安全自动化扫描工具分类

分类	全称	阶段	扫描对象	优点	缺点
SAST	Static Application Security Testing	静态	源代码	开发阶段就能发现，不用部署	误报多，不能发现运行时漏洞
DAST	Dynamic Application Security Testing	动态	运行中应用	发现运行时漏洞，能探测配置错误	需要部署，不能发现源码问题
IAST	Interactive Application Security Testing	交互	运行时插桩	发现运行时漏洞，误报低，精准	需要插桩，运行时开销
SCA	Software Composition Analysis	依赖	第三方依赖	发现已知漏洞（CVE），自动化	只能找已知漏洞，自定义代码找不到

SAST 静态应用安全测试

扫描源代码，不运行程序

工作原理：
  1. 分析源码语法树
  2. 匹配漏洞规则
  3. 比如：硬编码密码、SQL 拼接、XSS

常用 SAST 工具：
  - SonarQube：开源，集成 CI/CD，支持多语言
  - Semgrep：开源，基于规则，灵活
  - CodeQL：GitHub 集成，语义分析
  - Checkmarx：商业，功能全

优点：
  开发阶段就能发现，不需要部署
  覆盖率高

缺点：
  误报多，需要人工筛选
  只能发现源码中的问题

DAST 动态应用安全测试

程序运行起来，模拟攻击

工作原理：
  1. 爬虫爬取所有页面
  2. 对每个输入点注入攻击 payload
  3. 检测响应是否有漏洞

常用 DAST 工具：
  - OWASP ZAP：开源，推荐
  - Burp Suite：商业，渗透测试常用
  - Nuclei：模板化扫描，快

优点：
  不需要源码，直接测运行的应用
  发现配置错误、运行时漏洞

缺点：
  覆盖率低，只能测爬得到的路径
  需要部署，发现晚

IAST 交互式应用安全测试

在应用中插桩，运行时检测漏洞

工作原理：
  1. Agent 插桩到应用
  2. 运行时监控数据 flow
  3. 发现用户输入没有过滤直接到 SQL → SQL 注入

优点：
  误报极低，精准定位源码行
  能发现复杂逻辑漏洞
  覆盖率高

缺点：
  需要插桩，运行时有 overhead
  测试环境才能用，生产不能用

适用：测试环境，自动化集成

SCA 软件成分分析

扫描第三方依赖中的已知漏洞

工作原理：
  1. 解析 dependency 文件（package.json/requirements.txt/pom.xml/go.mod）
  2. 对比 CVE 数据库
  3. 发现已知漏洞，提示版本升级

常用 SCA 工具：
  - Dependabot（GitHub 原生）
  - Snyk：商业+开源
  - OWASP Dependency-Check：开源
  - Trivy：容器扫描也能扫依赖

SCA 必须做：
  已知漏洞占漏洞总量的 70%+
  很多漏洞不是你写的，是依赖带的

三、安全编码规范

C/C++

坑	漏洞类型	修复
不检查数组边界	缓冲区溢出	使用 bounds 检查，用 fuzz 测试
不安全函数（strcpy/sprintf）	缓冲区溢出	改用 strncpy/snprintf
整数溢出	缓冲区溢出	检查整数运算溢出
释放后使用（UAF）	内存错误	置空指针，用智能指针

Java

坑	漏洞类型	修复
SQL 拼接	SQL 注入	参数化查询
反序列化	远程代码执行	不反序列化不受信数据，用白名单
XML 注入	XXE 实体注入	禁用外部实体
硬编码密钥	信息泄露	不从源码读密钥，用环境变量或配置中心

JavaScript/Node.js

坑	漏洞类型	修复
eval 用户输入	代码注入	不用 eval，JSON.parse 解析 JSON
innerHTML 用户输入	XSS	输出编码，用 textContent
不安全依赖	已知漏洞	SCA 扫描，定期升级
jwt 不验证签名	身份伪造	必须验证签名，不要跳过

Go

Go 安全编码要点：

// 不要用 fmt.Sprintf 拼接 SQL
// Bad:
db.Query(fmt.Sprintf("SELECT * FROM users WHERE id = %d", id))

// Good:
db.Query("SELECT * FROM users WHERE id = $1", id)

// 文件名不能让用户可控，防止路径遍历
// Bad:
ioutil.ReadFile("/data/" + userInput)

// Good:
检查 userInput 不能包含 ".."

通用安全编码原则

永远不信任用户输入：所有用户输入都要过滤、验证
最小权限原则：进程只需要完成工作的最小权限
默认拒绝：默认不允许，明确允许才允许
敏感数据不在源码：密钥、密码不在 git，用配置中心
错误不泄露敏感信息：错误信息不要泄露堆栈、路径、版本

四、依赖漏洞管理

依赖漏洞处理流程

1. SCA 扫描 → 发现依赖漏洞 → CVE ID + CVSS 评分
2. 评估影响：我们用了这个组件吗？用到的功能有漏洞吗？
3. 修复：
   a. 升级到修复版本（优先）
   b. 不能升级 → 找 workaround（配置、限制访问）
   c. 不能修复 → 接受风险（写文档）
4. 验证：扫描确认漏洞修复
5. 闭环：记录，定期复扫

CVSS 评分：

0.0-3.9：低 → 低优先级，版本迭代一起修复
4.0-6.9：中 → 中优先级，下个版本修复
7.0-8.9：高 → 高优先级，近期发版修复
9.0-10.0： critical → 紧急，立即修复

常见做法：

高+critical 阻断 CI，不升级不能合并
中+低告警，不阻断，后续修复

五、DevSecOps 流水线集成示例

GitHub Actions 示例：

jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3

      # 1. SAST 扫描（CodeQL）
      - name: CodeQL analysis
        uses: github/codeql-action/init@v2
        with:
          languages: javascript,python,go
      - name: CodeQL analyze
        uses: github/codeql-action/analyze@v2

      # 2. SCA 依赖扫描（Dependabot 自动 PR）
      - name: Snyk dependency scan
        uses: snyk/actions/node@master
        env:
          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}

      # 3. 容器镜像扫描（Trivy）
      - name: Build image
        run: docker build -t myapp .
      - name: Trivy scan
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: 'myapp:latest'
          severity: 'CRITICAL,HIGH'
          exit-code: '1'  # 发现高危退出码 1，阻断 CI

六、漏洞生命周期管理

发现漏洞：
  自动化扫描发现
  渗透测试发现
  外部报告（用户、厂商）

分析评估：
  CVSS 评分
  影响范围评估
  是否可利用
  修复成本评估

修复：
  开发修复 → 测试 → 发布

验证：
  扫描验证 → 人工验证 → 确认修复

闭环：
  记录漏洞 → 统计趋势 → 改进流程

七、常见坑对照

错误	后果	对策
不做依赖扫描	已知漏洞没人发现	集成 SCA 到 CI，高危阻断
SAST 误报太多没人看	真漏洞被淹没	定期清理误报，优化规则
密钥硬编码到 git	泄露密钥	git ignore 配置，扫描发现就阻断
漏洞发现不修复	一直存在	高/critical 必须修复，不修复不能上线
依赖不升级	漏洞积累	Dependabot 自动提 PR，定期合并
左移不够	上线才发现漏洞，成本高	自动化集成到 CI，开发阶段检查

一句话总结

安全开发 DevSecOps：DevSecOps 左移把安全融入开发流程，开发阶段发现漏洞修复成本比上线后低 100 倍；SAST 扫描源码漏洞，DAST 动态扫描运行应用，IAST 插桩发现运行时漏洞（误报低），SCA 扫描第三方依赖漏洞；安全编码：永远不信任用户输入，SQL 用参数化，敏感数据不硬编码，默认拒绝；依赖漏洞管理：CVSS 评分，高/critical 阻断 CI，必须升级；流水线集成 SAST + SCA + DAST，自动化不依赖人工；核心：开发对安全负责，不把安全全推给安全团队。

安全索引

Security（06）：安全开发——安全编码、依赖扫描、漏洞管理、DevSecOps

本文要回答的问题

一、DevSecOps 与安全左移

二、安全自动化扫描工具分类

SAST 静态应用安全测试

DAST 动态应用安全测试

IAST 交互式应用安全测试

SCA 软件成分分析

三、安全编码规范

C/C++

Java

JavaScript/Node.js

Go

通用安全编码原则

四、依赖漏洞管理

依赖漏洞处理流程

五、DevSecOps 流水线集成示例

六、漏洞生命周期管理

七、常见坑对照

相关与延伸

一句话总结

Security（06）：安全开发——安全编码、依赖扫描、漏洞管理、DevSecOps ​

本文要回答的问题 ​

一、DevSecOps 与安全左移 ​

二、安全自动化扫描工具分类 ​

SAST 静态应用安全测试 ​

DAST 动态应用安全测试 ​

IAST 交互式应用安全测试 ​

SCA 软件成分分析 ​

三、安全编码规范 ​

C/C++ ​

Java ​

JavaScript/Node.js ​

Go ​

通用安全编码原则 ​

四、依赖漏洞管理 ​

依赖漏洞处理流程 ​

五、DevSecOps 流水线集成示例 ​

六、漏洞生命周期管理 ​

七、常见坑对照 ​

相关与延伸 ​

一句话总结 ​

Security（06）：安全开发——安全编码、依赖扫描、漏洞管理、DevSecOps

本文要回答的问题

一、DevSecOps 与安全左移

二、安全自动化扫描工具分类

SAST 静态应用安全测试

DAST 动态应用安全测试

IAST 交互式应用安全测试

SCA 软件成分分析

三、安全编码规范

C/C++

Java

JavaScript/Node.js

Go

通用安全编码原则

四、依赖漏洞管理

依赖漏洞处理流程

五、DevSecOps 流水线集成示例

六、漏洞生命周期管理

七、常见坑对照

相关与延伸

一句话总结