30分钟安全审计：上手新代码库

Source: Dev.to

你刚接手了一个代码库。可能是一次收购、资深工程师离职，或者你是新任 CTO，却没人能解释为什么会有一个 utils/legacy_auth.js 文件，里面有 3,000 行代码。

你需要知道：它有多糟糕？

---

旧方式：痛苦

传统上，安全审计需要数周时间。你请来顾问，他们跑工具，产出一份 200 页的 PDF，你把它归档然后忘记。

但你没有几周时间。你需要今天就进行一次快速检查。

---

30 分钟方法

下面是如何在 30 分钟内评估一个新代码库。

步骤 1：安装（2 分钟）

npm install --save-dev eslint-plugin-secure-coding
npm install --save-dev eslint-plugin-pg
npm install --save-dev eslint-plugin-crypto

步骤 2：配置以实现最大检测（3 分钟）

// eslint.config.js
import secureCoding from 'eslint-plugin-secure-coding';
import pg from 'eslint-plugin-pg';
import crypto from 'eslint-plugin-crypto';

export default [
  secureCoding.configs.strict,
  pg.configs.recommended,
  crypto.configs.recommended,
];

strict 预设会把所有 75 条安全编码规则都设为错误——非常适合首次扫描。

步骤 3：运行审计（5 分钟）

npx eslint . --format=json > security-audit.json

你会看到类似的违规：

src/auth/login.ts
  18:5   error  🔒 CWE-798 OWASP:A07-Auth-Failures CVSS:7.5 | Hardcoded API key detected | HIGH
                   Fix: Move to environment variable: process.env.STRIPE_API_KEY

src/utils/crypto.ts
  42:10  error  🔒 CWE-327 OWASP:A02-Crypto-Failures CVSS:7.5 | Weak algorithm (MD5) | HIGH
                   Fix: Use a strong algorithm: crypto.createHash('sha256')

步骤 4：分析并优先处理（20 分钟）

cat security-audit.json | jq '.[] | .messages[] | .ruleId' | sort | uniq -c | sort -rn

现在你得到了一份优先级列表：

• 15 条 pg/no-unsafe-query = 🔴 严重
• 8 条 secure-coding/no-hardcoded-credentials = 🔴 严重
• 3 条 crypto/no-weak-hash = 🟡 中等

---

这能告诉你什么

在 30 分钟内你可以了解：

• 攻击面——哪些 OWASP 类别最为暴露。
• 热点——哪些文件问题最多。
• 文化——前团队是否重视安全？

这并不能替代完整的渗透测试，但它是基于数据的起点，足以在第一次董事会会议上使用。

---

加分项：让 AI 修复

结构化的错误信息是为 AI 编码助手设计的。确定了最重要的问题后，让 AI 提出修复方案——大多数都可以通过一次敲键完成。

---

接下来该做什么？

• 强制执行——将插件加入 CI 流水线，阻止新问题出现。
• 自动合规——使用内置的 SOC2/PCI 标签作为审计凭证。
• 跟踪进度——每周重新运行，衡量修复速度。

---

快速安装

• 📦 eslint-plugin-secure-coding – 75 条安全规则
• 📦 eslint-plugin-pg – PostgreSQL 安全
• 📦 eslint-plugin-crypto – 加密安全