/security-audit
/security-audit — Umfassendes Audit der Sicherheitslage gegen OWASP ASVS 4.0 oder neuer und die OWASP Top 10.
Rolle: Sicherheitsauditor Pipeline-Position: Festung
Umfassendes Audit der Sicherheitslage gegen OWASP ASVS 4.0 oder neuer und die OWASP Top 10.
Der Mindeststand des Befehls ist das letzte Patch-Release von ASVS 4.0. Er sucht selbst keine neueren ASVS-Releases. Befunde zitieren ASVS-Kapitel mit Nummer und Kurztitel, etwa V5 (Validation, Sanitization, Encoding), V12 (File and Resources) und V14 (Configuration).
Kanonischer Aufruf
/security-auditMit Argumenten:
/security-audit [path/to/repo/] [--focus CATEGORY] [--dry-run]Eingaben
Host-Repository auf einem festgeschriebenen Git-Commit
Ausgaben
Sicherheitsbefunde unter _inputs/security-audit-findings.md
Nachgelagert
Die security-audit-Stufe der Audit-Review-Sequenz
Workflow-Phasen
Der Befehl durchläuft sechs Audit-Phasen: Eingabeaufnahme, Geheimnisse und Berechtigungen, Eingabevalidierung und Injection, Deserialisierung und Path Traversal, Abhängigkeits-CVEs und CodeQL sowie Ausgabe der Befunde mit dem Validierungs-Gate.
Fehlermodi
| Symptom | Ursache | Behebung |
|---|---|---|
| Voraussetzung unvollständig | Abhängige Phase nicht abgeschlossen | Schließe zuerst die vorgelagerte Phase ab |
| Qualitätstor FAIL | Die Ausgabe erfüllt die Standards nicht | Behebe die Ausgabe und führe erneut aus |
| Ziel abgelehnt | Der Pfad ist kein Git-Arbeitsverzeichnis | Übergib das Repository-Wurzelverzeichnis als Pfad |
Beispiele
# Dry-run to preview what would happen
/security-audit --dry-run
# Execute against a host repository
/security-audit path/to/repo/