/security-audit
/security-audit — تدقيق شامل لوضع الأمان مقابل OWASP ASVS 4.0 أو أحدث، وOWASP Top 10.
الدور: مُدقِّق الأمان موضع خط الأنابيب: القلعة
تدقيق شامل لوضع الأمان مقابل OWASP ASVS 4.0 أو أحدث، وOWASP Top 10.
الحدّ الأدنى للأمر هو آخر إصدار تصحيحي من ASVS 4.0. ولا يبحث بنفسه عن إصدارات ASVS الأحدث. وتُشير الملاحظات إلى فصول ASVS برقمها وعنوانها المختصر، مثل V5 (التحقّق والتعقيم والترميز)، وV12 (الملفات والموارد)، وV14 (الإعدادات).
الاستدعاء المعياري
/security-auditمع وسائط:
/security-audit [path/to/repo/] [--focus CATEGORY] [--dry-run]المدخلات
مستودع المُضيف عند الـcommit المُثبَّت في git
المخرجات
نتائج الأمان في _inputs/security-audit-findings.md
في اتجاه المصبّ
مرحلة security-audit من تسلسل مراجعة التدقيق
مراحل سير العمل
يُنفِّذ الأمر ست مراحل للتدقيق: استيعاب المدخلات، والأسرار والصلاحيات، والتحقّق من المدخلات والحقن، وإلغاء التسلسل واجتياز المسارات، وثغرات CVE في التبعيات وCodeQL، وإصدار النتائج مع بوابة التحقّق.
أنماط الفشل
| العَرَض | السبب | الاستعادة |
|---|---|---|
| متطلب مسبق غير مكتمل | لم تنتهِ المرحلة المعتمَد عليها | أكمل المرحلة في اتجاه المنبع أولًا |
| بوابة الجودة FAIL | المُخرَج لا يفي بالمعايير | أصلِح المُخرَج وأعِد التشغيل |
| رفض الهدف | المسار ليس شجرة عمل git | مرِّر جذر المستودع بوصفه المسار |
أمثلة
# Dry-run to preview what would happen
/security-audit --dry-run
# Execute against a host repository
/security-audit path/to/repo/إحالات مرجعية
/perf-audit
/perf-audit — يدقّق مقابل ميزانيات الأداء لكلّ صنف (زمن تشغيل الخطّافات، وverify-ecosystem، وبوابة المطابقة، والاختبارات، والعمّال المُفوَّضون، وshell، وlint)، باستخدام أسلوب USE.
/supply-chain-audit
/supply-chain-audit — تدقيق سلسلة التوريد مقابل معايير <bdi>SLSA + Sigstore + SBOM</bdi>.