production-ready

生产就绪

为任何项目提供全面的生产就绪、安全加固和专业发布准备。

适用场景

• 首次部署到生产环境之前
• 重大变更之后、发布之前
• 进行安全审计时
• 将项目开源时
• 进行合规性审查期间
• 接手新的代码库时

快速开始

首先，询问用户选择哪种模式：

Which level of audit do you need?

1. **Quick** - Fast CI-suitable checks (~2 min)
   - Secret scanning
   - Critical vulnerabilities only

2. **Security** - Deep security audit (~10 min)
   - All vulnerability severities
   - SBOM generation
   - Configuration hardening

3. **Full** - Comprehensive audit (~15 min)
   - All security checks
   - Documentation review
   - CI/CD validation
   - Monitoring setup check

步骤 1：检测技术栈

扫描之前，先识别项目的技术栈和依赖项：

# Detect project files to determine stack
ls -la | grep -E "package.json|requirements.txt|Cargo.toml|go.mod|Gemfile|pom.xml|build.gradle|composer.json|pubspec.yaml|*.csproj"

检测到的文件	技术栈	主要安全工具
package.json	Node.js/JavaScript	npm audit、snyk、retire.js
requirements.txt / pyproject.toml	Python	pip-audit、safety、bandit
Cargo.toml	Rust	cargo-audit、cargo-deny
go.mod	Go	govulncheck、gosec
Gemfile	Ruby	bundle-audit、brakeman
pom.xml / build.gradle	Java	OWASP Dependency-Check、SpotBugs
composer.json	PHP	composer audit、phpstan
*.csproj	.NET	dotnet list package --vulnerable
pubspec.yaml	Dart/Flutter	dart pub outdated

步骤 2：推荐安全工具

根据检测到的技术栈，推荐合适的工具。安装任何工具之前，务必先询问用户。

通用工具（适用于所有项目）

免费/开源（行业标准）：

工具	用途	安装命令
gitleaks	检测 Git 历史中的机密信息	brew install gitleaks or curl -sSfL https://raw.githubusercontent.com/gitleaks/gitleaks/main/scripts/install.sh | sh
trufflehog	深度扫描机密信息并验证	brew install trufflehog or curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/main/scripts/install.sh | sh
syft	生成 SBOM	brew install syft or curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh
grype	漏洞扫描器（多语言）	brew install grype or curl -sSfL https://raw.githubusercontent.com/anchore/grype/main/install.sh | sh
trivy	综合安全扫描器	brew install trivy or see trivy docs
semgrep	静态分析（SAST）	brew install semgrep or pip install semgrep

付费/企业级（先进方案）：

工具	用途	备注
Snyk	全方位安全防护（SCA、SAST、容器）	提供免费套餐，企业功能需付费
Sonatype Nexus Lifecycle	企业级依赖管理	SCA 领域的行业领导者
Checkmarx	企业级 SAST/DAST	全面的企业级解决方案
Veracode	应用安全平台	企业级扫描
GitHub Advanced Security	集成式安全（CodeQL、Dependabot）	GitHub 原生集成

特定语言的工具

JavaScript/Node.js：

• 免费：npm audit、yarn audit、retire.js、eslint-plugin-security
• 付费：Snyk（免费套餐）、Socket.dev

Python：

• 免费：pip-audit、safety、bandit
• 付费：Snyk、PyUp.io

Go：

• 免费：govulncheck、gosec
• 付费：Snyk

Rust：

• 免费：cargo-audit、cargo-deny

Ruby：

• 免费：bundle-audit、brakeman
• 付费：Snyk

Java：

• 免费：OWASP Dependency-Check、SpotBugs
• 付费：Sonatype、Snyk

第 3 步：请用户安装工具

重要：安装任何工具前，务必先询问用户。

根据检测到的技术栈，提供推荐工具：

I've detected your project uses [STACK]. Here are the recommended security scanning tools:

**Required (Universal):**
- gitleaks - Secret detection
- grype - Vulnerability scanning
- syft - SBOM generation

**Stack-Specific ([STACK]):**
- [tool1] - [purpose]
- [tool2] - [purpose]

**Optional (Enhanced Coverage):**
- trivy - Comprehensive scanner
- semgrep - Static analysis

Would you like me to install these tools?
1. Yes, install all recommended tools
2. Yes, but only the required universal tools
3. Let me select which ones to install
4. No, I'll install them manually

**如果用户选择选项 1、2 或 3：**使用相应的包管理器进行安装，然后继续第 4 步。

**如果用户选择选项 4：**提供安装命令，并在用户确认工具已安装后继续第 4 步。

第 4 步：运行安全扫描

根据已安装的工具和审计模式执行扫描：

快速模式

# Secret scanning
gitleaks detect --source=. --no-banner

# Critical vulnerabilities only
grype dir:. --fail-on=critical --only-fixed

安全模式（包含快速模式）

# Deep secret scan with verification
trufflehog filesystem . --only-verified

# All high+ vulnerabilities
grype dir:. --fail-on=high --only-fixed

# Generate SBOM
syft dir:. -o cyclonedx-json=sbom.json

# Static analysis (if semgrep installed)
semgrep --config auto --error

完整模式（包含安全模式）

执行所有安全检查，以及文档、CI/CD 和可观测性验证。

第 5 步：生成报告

报告必须写入 docs/reports/ 目录。

如果目录不存在，则创建该目录：

mkdir -p docs/reports

生成一份以今天日期命名的 Markdown 报告：

# Report filename format
REPORT_FILE="docs/reports/security-audit-$(date +%Y-%m-%d).md"

报告模板

生成的报告应遵循以下结构：

# Security Audit Report

**Project:** [project-name]
**Date:** [YYYY-MM-DD]
**Audit Mode:** [Quick|Security|Full]
**Auditor:** Claude Code (production-ready skill)

## Executive Summary

- **Total Checks:** X
- **Passed:** X
- **Failed:** X
- **Warnings:** X

## Tech Stack Detected

- Primary Language: [language]
- Package Manager: [manager]
- Frameworks: [frameworks]

## Tools Used

| Tool | Version | Purpose |
|------|---------|---------|
| gitleaks | X.X.X | Secret detection |
| grype | X.X.X | Vulnerability scanning |
| ... | ... | ... |

## Findings

### Critical Issues (Must Fix)

1. **[Issue Title]**
   - Severity: Critical
   - Location: [file:line]
   - Description: [description]
   - Remediation: [steps to fix]

### High Severity Issues

...

### Medium/Low Severity Issues

...

## Dependency Vulnerabilities

| Package | Current | Fixed In | Severity | CVE |
|---------|---------|----------|----------|-----|
| ... | ... | ... | ... | ... |

## SBOM Summary

- Total Packages: X
- Direct Dependencies: X
- Transitive Dependencies: X
- SBOM Location: `docs/reports/sbom-[date].json`

## Recommendations

1. [Prioritized recommendation]
2. [Prioritized recommendation]
...

## Next Steps

- [ ] Fix critical vulnerabilities
- [ ] Review and remediate high-severity issues
- [ ] Update dependencies with known fixes
- [ ] Re-run audit after fixes

---
*Generated by production-ready skill v2.0.0*

审计模式检查清单

快速模式检查清单

• 机密信息：运行 gitleaks detect --source=.
• 严重漏洞：运行 grype dir:. --fail-on=critical
• 基础配置：确认 .gitignore 包含 .env、*.key、*.pem
• 生成报告：将检查结果写入 docs/reports/security-audit-[date].md

安全模式检查清单（包含快速模式）

• 所有漏洞：grype dir:. --fail-on=high
• 生成 SBOM：syft dir:. -o cyclonedx-json=docs/reports/sbom-[date].json
• 深度扫描机密信息：trufflehog filesystem . --only-verified
• 静态分析：semgrep --config auto（如果已安装）
• 依赖项审查：检查是否存在过时或无人维护的包
• 配置加固：
  • 配置文件中没有硬编码的 localhost 或端口
  • 所有机密信息均使用环境变量
  • 存在包含占位值的 .env.example
• Docker 安全性（如适用）：
  • 已指定非 root 用户
  • 基础镜像版本已固定
  • 存在 .dockerignore
• 生成报告：将完整检查结果写入 docs/reports/security-audit-[date].md

完整模式检查清单（包含安全）

文档：

• 存在 README.md，其中包含设置说明
• 存在 LICENSE 文件
• 维护 CHANGELOG.md
• 提供 SECURITY.md，说明漏洞报告流程
• 提供 CONTRIBUTING.md（适用于开源项目）

CI/CD：

• 已配置 CI 流水线（GitHub Actions、GitLab CI 等）
• 在 PR/推送时运行自动化测试
• 在流水线中进行安全扫描
• 已验证构建产物

可观测性：

• 健康检查端点（/health 或 /healthz）
• 已配置结构化日志
• 已设置错误跟踪（Sentry 等）
• 指标收集（如适用）

运维：

• 已分离特定环境的配置
• 已记录备份/恢复流程
• 已记录回滚计划
• 值班手册（适用于关键服务）

生成报告：将全面的发现结果写入 docs/reports/security-audit-[date].md

搜索最新工具

如果检测到的技术栈需要上述列表中未列出的专用工具，请在互联网上搜索适用于该技术的当前（2025 年及以后）行业标准安全扫描工具。优先考虑：

1. 由官方语言/框架文档推荐的工具
2. OWASP 推荐的工具
3. 正在积极维护的工具（过去 6 个月内有提交记录）
4. GitHub Star 数量可观（>1000）且得到社区广泛采用的工具

安全标准参考

基于 OWASP Top 10 2025：

风险	主要缓解措施
A01：访问控制失效	默认拒绝，在服务器端验证权限
A02：安全配置错误	自动加固，移除默认设置，配置安全标头
A03：供应链	SBOM、依赖扫描、签名构建
A04：注入	参数化查询、输入验证
A05：加密失效	全面使用 TLS、采用强算法、不硬编码密钥

常见问题与修复方法

发现密钥

# Rotate the compromised credential immediately
# Then remove from git history:
git filter-branch --force --index-filter \
  "git rm --cached --ignore-unmatch PATH/TO/FILE" \
  --prune-empty --tag-name-filter cat -- --all

# Or use BFG Repo-Cleaner (faster):
bfg --delete-files "*.env"

存在漏洞的依赖项

# Update to patched version
npm update PACKAGE  # or
pip install PACKAGE --upgrade  # or
cargo update PACKAGE

# If no patch available, evaluate alternatives

退出标准

满足以下条件时，项目即可用于生产环境：

1. 可修复的高危/严重漏洞数量为 零
2. 检测到的硬编码密钥数量为 零
3. 已提供 所有 必需文档
4. CI/CD 流水线通过所有安全检查
5. 已生成 SBOM 并存储在 docs/reports/ 中
6. 健康检查运行正常
7. 已在 docs/reports/security-audit-[date].md 中生成安全审计报告

参考资料

请参阅 references/ 目录：

• research.md - 详细研究发现
• sources.md - 权威来源和链接