code-security-audit

代码安全审计能力

基于 OWASP 四大来源的集成式代码安全审计系统，适用于通用代码库分析。

知识来源

• OWASP ASVS 5.0.0：涵盖 17 个安全领域的 345 项验证要求（L1/L2/L3）
• OWASP API Security Top 10 2023：包含 10 类 API 专属风险，并提供代码级指标
• OWASP CheatSheet Series：109 份实用的安全编码指南，用于指导修复
• OWASP WSTG (Web Security Testing Guide)：包含 12 类测试和 120 多个测试场景

来源角色

来源	角色	用途
ASVS 5.0.0	验证要求基准	定义检查内容 — 按领域划分的结构化要求
API Security Top 10 2023	风险分类体系	定义查找目标 — API 专属威胁模式
CheatSheet Series	实施指南	定义修复方法 — 安全编码模式和实践
WSTG	测试方法	定义验证方式 — 针对各类漏洞的具体测试场景

领域

• 输入处理（V1、V2、V5）：编码、净化、注入防护、验证、文件处理
• 身份验证与会话（V6、V7、V9、V10）：身份验证机制、会话管理、令牌处理、OAuth/OIDC
• 授权（V8）：对象级、功能级、属性级访问控制
• 密码学（V11、V12）：存储加密、密钥管理、TLS 配置
• API 安全（V4、V17）：REST/GraphQL/WebSocket/WebRTC 安全、速率限制、资源消耗
• 数据保护（V14）：敏感数据泄露、隐私控制、客户端数据
• 配置（V13、V16）：安全标头、CORS、错误处理、日志记录、部署加固
• 安全编码（V3、V15）：Web 前端安全、架构模式、防御性编码、并发安全

输入约定

字段	必填	说明
代码库路径	是	Agent 当前操作的工作区或代码库。默认为当前活动代码库；用户可将范围缩小到特定目录或文件（例如 src/auth/、api/controllers/）
审计级别	否	ASVS 验证级别（默认：L2）。请参阅下方的级别定义
重点领域	否	优先审查的安全领域。请参阅下方的重点领域目录
技术背景	否	用于定向分析的语言、框架或架构说明

审计级别（OWASP ASVS 5.0.0）

级别	目标应用	要求数量	说明
L1	所有应用	约 86	基本基线 — 涵盖通常可被利用且每个应用都必须解决的严重漏洞（例如 SQL 注入、OS 命令注入、基本身份验证检查）
L2	处理敏感数据（PII、财务、健康数据）的应用	约 230	标准安全 — 包含 L1，以及纵深防御控制，例如 SSRF 防护、模板注入防护、安全会话管理和正确使用密码学
L3	关键任务系统（银行、医疗、军事、基础设施）	约 345	全面防护 — 包含 L1+L2，以及高级控制，例如公式注入防护、完整的输入规范化和全面的密码学验证

重点领域目录

重点领域	域	示例检查项
authentication	V6, V7, V9, V10	密码存储、多因素身份验证、OAuth/OIDC 流程、凭据轮换
authorization	V8	对象级（BOLA）、功能级、属性级访问控制
injection	V1, V2	SQLi、XSS、命令注入、LDAP/XPath 注入、模板注入、XXE
cryptography	V11, V12	弱算法、密钥管理、TLS 配置、机密存储
api-security	V4, V17	速率限制、资源消耗、REST/GraphQL/WebSocket 安全
session	V7, V9, V10	令牌处理、会话固定、Cookie 属性、JWT 验证、CSRF
file-handling	V5	路径遍历、不受限制的上传、文件类型验证、存储安全
data-protection	V14	敏感数据暴露、隐私控制、客户端数据泄露
configuration	V13, V16	安全标头、CORS、错误处理、日志记录、部署加固
secure-coding	V3, V15	前端安全、并发安全、架构模式、防御性编码

前置条件

• 可以访问和读取代码库
• Agent 具备文件搜索和读取能力
• 如果无法确定代码库结构，Agent 会在审计输出中说明限制

核心能力

• 代码库侦察：识别技术栈、框架、入口点和与安全相关的文件区域
• 按域分析：系统地审计涵盖全部 8 个安全域的代码
• ASVS 要求验证：根据指定级别检查代码是否符合适用的 ASVS 5.0.0 要求
• 漏洞模式检测：识别集成知识库中的已知易受攻击代码模式
• 跨来源关联：将发现映射到 ASVS 要求、API Top 10 风险、CheatSheet 指南和 WSTG 测试 ID
• 严重性分类：根据证据和置信度，将发现评定为严重/高/中/低
• 修复指南：提供源自 CheatSheet Series 的具体修复模式
• 结构化报告生成：生成完整的 Markdown 审计报告

审计工作流

1. Reconnaissance    → Identify stack, structure, entry points
2. Scope Definition  → Select applicable ASVS domains and level
3. Domain Analysis   → Audit each security domain systematically
4. Finding Synthesis → Deduplicate, correlate across sources, assign severity
5. Remediation Map   → Attach fix patterns per finding
6. Report Generation → Produce structured Markdown report

输出约定

审计会生成一份 Markdown 报告，其中包含：

• 执行摘要：总体风险状况、严重发现数量、审计范围
• 发现项表格：每项发现均包含严重性、ASVS ID、CWE、证据和修复建议
• 域报告：按域提供详细分析和代码引用
• 修复路线图：按优先级排列的修复建议
• 审计元数据：范围、级别、限制、方法说明

严重性级别

级别	标准
Critical	可利用且会直接造成安全影响的漏洞（RCE、SQLi、身份验证绕过、数据泄露）
High	需要尽快修复的重大安全弱点（访问控制失效、弱加密、SSRF）
Medium	在特定条件下可利用的安全隐患（缺少标头、错误信息过于详细、验证薄弱）
Low	纵深防御改进或偏离最佳实践（日志记录缺失、小型配置问题）
Info	不会造成直接安全影响的观察结果或建议

技术参考

• audit_process.md：完整的分步审计方法和侦察流程
• security_domains.md：全部 17 个 ASVS 域，包含与代码审计相关的要求和跨来源映射
• vulnerability_patterns.md：按类别整理的具体代码级漏洞模式
• remediation_patterns.md：来自 CheatSheet Series 的安全编码修复模式
• report_format.md：详细的 Markdown 报告结构和发现项架构