程序员如何做「安全审计」：不是事后，是事前

安全审计是系统上线前的重要保障。

事后审计发现问题，修复成本是事前审计的 10 倍。

---

一、安全审计的范围

1. 应用安全

• SQL 注入
• XSS
• CSRF
• 越权访问

2. 数据安全

• 敏感数据加密
• 密钥管理
• 数据脱敏

3. 基础设施

• 服务器安全配置
• 网络访问控制
• 权限管理

4. 第三方依赖

• 依赖漏洞扫描
• 组件版本

---

二、安全审计的方法

1. 代码审计

• 手动 review 安全相关代码
• 使用代码扫描工具（SonarQube、Fortify）

2. 渗透测试

• 模拟攻击者视角
• 找系统的安全漏洞

3. 配置审计

• 检查安全配置是否正确
• 密码策略、权限配置

4. 日志审计

• 检查日志是否记录安全相关操作
• 检查是否有异常访问

---

三、安全审计的工具

1. 代码扫描

• SonarQube
• Checkmarx
• Fortify

2. 漏洞扫描

• OWASP ZAP
• Nessus
• OpenVAS

3. 依赖扫描

• dependency-check（Java）
• npm audit（Node）
• safety（Python）

---

四、安全审计的流程

1. 准备阶段

• 明确审计范围
• 确定审计标准（OWASP Top 10、CVE）

2. 信息收集

• 系统架构
• 技术栈
• 部署方式

3. 实施审计

• 代码审计
• 渗透测试
• 配置检查

4. 报告与修复

• 输出审计报告
• 按优先级修复问题

---

五、常见的安全问题

1. 注入攻击

• SQL 注入
• 命令注入
• XSS

2. 认证与授权

• 弱密码
• 会话管理问题
• 权限控制不严

3. 数据泄露

• 敏感数据未加密
• 日志泄露敏感信息
• 接口暴露过多数据

4. 第三方风险

• 第三方组件漏洞
• API 安全

---

六、一句话总结

安全审计 = 代码审计 + 渗透测试 + 配置审计 + 日志审计，事前审计发现问题成本最低。