安全测试与开发文化

SAST：静态应用安全测试

SAST（Static Application Security Testing，静态分析）在不运行代码的情况下分析源代码，找出潜在的安全漏洞。可以集成到 IDE、Git pre-commit hook 和 CI/CD 流水线中，实现"左移安全"（在早期阶段发现漏洞，修复成本最低）。

Semgrep：现代化轻量 SAST 工具

# 安装 Semgrep
pip install semgrep
# 或 Docker：docker run --rm -v "${PWD}:/src" returntocorp/semgrep

# 使用 OWASP Top 10 规则集扫描（自动下载规则）
semgrep --config=p/owasp-top-ten .

# 使用安全规则集扫描 Python 项目
semgrep --config=p/python-security .

# 使用多个规则集
semgrep --config=p/security-audit --config=p/secrets .

# 扫描 JavaScript/TypeScript（检测 XSS、注入等）
semgrep --config=p/javascript .

# CI/CD 集成：只扫描本次 PR 变更的代码
semgrep ci  # 自动检测 Git 变更范围

自定义 Semgrep 规则

# .semgrep/custom-rules.yml
rules:
  # 检测危险的 SQL 字符串拼接
  - id: sql-injection-f-string
    pattern: f"... SQL ... {$VAR} ..."
    message: 检测到使用 f-string 拼接 SQL，可能存在 SQL 注入风险
    severity: ERROR
    languages: [python]
    fix: 使用参数化查询替代字符串拼接

  # 检测硬编码密码
  - id: hardcoded-password
    patterns:
      - pattern: password = "..."
      - pattern-not: password = ""
    message: 检测到硬编码密码，请使用环境变量
    severity: WARNING
    languages: [python]

CodeQL（GitHub Advanced Security）

# .github/workflows/codeql.yml
name: CodeQL Analysis

on:
  push:
    branches: [main]
  pull_request:
  schedule:
    - cron: '0 2 * * 1'  # 每周一凌晨 2 点

jobs:
  analyze:
    runs-on: ubuntu-latest
    permissions:
      security-events: write

    steps:
    - uses: actions/checkout@v4

    - name: 初始化 CodeQL
      uses: github/codeql-action/init@v3
      with:
        languages: python, javascript  # 支持 C++/C#/Go/Java/Kotlin/Ruby/Swift
        queries: security-and-quality  # 安全 + 质量规则

    - name: 执行 CodeQL 分析
      uses: github/codeql-action/analyze@v3
      with:
        category: /language:python

DAST：动态应用安全测试

DAST（Dynamic Application Security Testing）通过实际运行应用并发送各种测试请求来发现漏洞，类似于自动化的渗透测试。DAST 可以发现 SAST 可能遗漏的运行时漏洞（配置错误、认证问题等）。

OWASP ZAP 自动化扫描

# 基线扫描（被动扫描 + 少量主动测试，适合 CI/CD）
docker run --rm -t owasp/zap2docker-stable \
  zap-baseline.py \
  -t https://staging.example.com \
  -r zap-report.html \
  -I  # 即使发现问题也不以非零退出（可选，取决于 CI 策略）

# 完整扫描（更全面的主动测试，耗时较长）
docker run --rm -t owasp/zap2docker-stable \
  zap-full-scan.py \
  -t https://staging.example.com \
  -r zap-full-report.html

# ZAP 集成到 GitHub Actions

# GitHub Actions ZAP 集成
- name: OWASP ZAP 扫描
  uses: zaproxy/action-baseline@v0.11.0
  with:
    target: https://staging.example.com
    rules_file_name: .zap/rules.tsv  # 可配置忽略规则
    cmd_options: '-a'  # 包含 AJAX Spider（测试 SPA 应用）

渗透测试流程简介

渗透测试（Penetration Testing，Pentest）是模拟真实攻击者的授权安全评估。理解渗透测试的思路，有助于开发者站在攻击者视角审视自己的代码。

威胁建模：STRIDE

威胁建模（Threat Modeling）是在设计阶段系统性地识别安全威胁的方法。STRIDE 是 Microsoft 开发的威胁分类框架，帮助团队在编码前发现设计层面的安全问题。

Bug Bounty：参与指南

Bug Bounty（漏洞赏金）计划允许安全研究人员在规定范围内测试企业系统，发现并负责任地报告漏洞以获得奖励。对开发者来说，理解 Bug Bounty 有两个价值：① 用 Bug Hunter 的视角审视自己的代码；② 作为职业发展路径（高水平的 Bug Hunter 年收入可达数十万美元）。

安全编码 Checklist

以下是每个开发者在日常编码中应该检查的安全要点，建议将其纳入 Code Review 标准和 PR 模板中：

推荐学习资源