安全扫描：漏洞早筛

安全扫描在编码与提交阶段用规则与模型识别常见漏洞（注入、越权、敏感信息泄露），把风险挡在合并之前。它把安全检查从上线后前移到开发当下。

它是什么

工具把代码与依赖清单输入检测引擎（如 SAST、SCA），对照 OWASP Top 10 等清单标记疑似弱点并给出修复建议。模型可补充语义级判断，减少纯规则的误报。

为什么早筛

• 漏洞越晚发现修复成本越高，越早拦截越省心。
• 在 PR 中即时反馈，缩短从引入到修复的路径。
• 统一安全基线，减少人因遗漏与风格差异。
• 依赖扫描能及时发现已知 CVE，避免带病上线。

怎么接

在流水线中加入扫描步骤，让每次提交都经过检查。

name: security-scan
on: [pull_request]
jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: 依赖与代码扫描
        run: echo "在此调用 SAST/SCA 工具"

注意点

• 扫描结果有漏报与误报，不能替代人工安全评审。

• 及时升级有已知 CVE 的依赖，并锁定可复现版本。

• 不要把密钥写进代码；用密钥管理而非提交明文。

• 把高危项设为合并阻断，低危项纳入 backlog 跟踪。

• 对扫描发现按可利用性与影响排优先级，先修可达的高危项。

• 把安全扫描接入预提交钩子，把问题尽量拦在本地。

• 关注许可证合规，避免引入不兼容的开源依赖。

小结

安全扫描在编码与合并前以规则与模型早筛漏洞，降低修复成本；但需配合依赖升级与人工评审，且密钥须走专用管理，不能依赖扫描一项。

参考与延伸阅读

• OWASP Top 10。已核验。https://owasp.org/www-project-top-ten/
• GitHub Actions 文档。已核验。https://docs.github.com/en/actions