安全代码审查概述安全代码审查是识别代码中安全漏洞的重要方法。本技能提供安全代码审查的方法、工具和最佳实践。审查范围 1. 输入验证检查项目：用户输入验证参数验证数据过滤边界检查 2. 输出编码检查项目： XSS防护输出编码内容安全策略响应头设置 3. 认证授权检查项目：认证机制会话管理权限控制密码处理 4. 加密和密钥检查项目：数据加密密钥管理哈希算法随机数生成审查方法 1. 静态分析使用SAST工具：

SonarQube

sonar-scanner

Checkmarx

使用Web界面

Fortify

sourceanalyzer -b project build.sh sourceanalyzer -b project -scan

Semgrep

semgrep --config = auto . 2. 手动审查审查清单：输入验证输出编码 SQL注入 XSS漏洞认证授权加密使用错误处理日志记录 3. 代码模式识别危险函数：

Python危险函数

eval ( ) exec ( ) pickle . loads ( ) os . system ( ) subprocess . call ( ) // Java危险函数 Runtime . exec ( ) ProcessBuilder ( ) Class . forName ( ) // PHP危险函数 eval ( ) exec ( ) system ( ) passthru ( ) 常见漏洞模式 SQL注入危险代码： String query = "SELECT * FROM users WHERE id = " + userId ; Statement stmt = connection . createStatement ( ) ; ResultSet rs = stmt . executeQuery ( query ) ; 安全代码： String query = "SELECT * FROM users WHERE id = ?" ; PreparedStatement stmt = connection . prepareStatement ( query ) ; stmt . setInt ( 1 , userId ) ; ResultSet rs = stmt . executeQuery ( ) ; XSS漏洞危险代码： document . innerHTML = userInput ; element . innerHTML = "

" + userInput + "

" ; 安全代码： element . textContent = userInput ; element . setAttribute ( "data-value" , userInput ) ; // 或使用编码库 element . innerHTML = escapeHtml ( userInput ) ; 命令注入危险代码： import os os . system ( "ping " + user_input ) 安全代码： import subprocess subprocess . run ( [ "ping" , "-c" , "1" , validated_input ] ) 路径遍历危险代码： String filePath = "/uploads/" + fileName ; File file = new File ( filePath ) ; 安全代码： String basePath = "/uploads/" ; String fileName = Paths . get ( fileName ) . getFileName ( ) . toString ( ) ; String filePath = basePath + fileName ; File file = new File ( filePath ) ; if ( ! file . getCanonicalPath ( ) . startsWith ( basePath ) ) { throw new SecurityException ( "Invalid path" ) ; } 硬编码密钥危险代码： String apiKey = "1234567890abcdef" ; String password = "admin123" ; 安全代码： String apiKey = System . getenv ( "API_KEY" ) ; String password = keyStore . getPassword ( "db_password" ) ; 工具使用 SonarQube

启动SonarQube

docker run -d -p 9000 :9000 sonarqube

运行扫描

sonar-scanner \ -Dsonar.projectKey = myproject \ -Dsonar.sources = . \ -Dsonar.host.url = http://localhost:9000 Semgrep

安装

pip install semgrep

运行扫描

semgrep --config = auto .

使用规则

semgrep --config = p/security-audit . CodeQL

创建数据库

codeql database create database --language = java --source-root = .

运行查询

codeql database analyze database security-and-quality.qls --format = sarif-latest 审查清单输入验证所有用户输入都经过验证使用白名单验证验证数据类型和范围处理特殊字符输出编码 HTML输出编码 URL编码 JavaScript编码 SQL参数化认证授权强密码策略安全的会话管理权限验证多因素认证加密使用强加密算法密钥安全存储传输加密存储加密错误处理不泄露敏感信息统一错误响应记录错误日志异常处理最佳实践 1. 安全编码规范遵循OWASP Top 10 使用安全编码指南代码审查流程安全培训 2. 自动化工具集成SAST工具 CI/CD安全检查自动化扫描结果分析 3. 代码审查流程同行审查安全专家审查定期审查记录问题注意事项结合工具和人工审查关注业务逻辑漏洞定期更新工具规则建立安全编码文化