/security-audit
/security-audit — Audit complet de la posture de sécurité face à OWASP ASVS 4.0 ou à une version ultérieure, et à l'OWASP Top 10.
Rôle : Auditeur de sécurité Position dans le pipeline : forteresse
Audit complet de la posture de sécurité face à OWASP ASVS 4.0 ou à une version ultérieure, et à l'OWASP Top 10.
Le socle de la commande est la dernière version de correctif de l'ASVS 4.0 ; elle ne consulte pas elle-même les versions plus récentes de l'ASVS. Les constats citent les chapitres ASVS par numéro et titre abrégé, par exemple V5 (Validation, Sanitization, Encoding), V12 (File and Resources) et V14 (Configuration).
Invocation canonique
/security-auditAvec des arguments :
/security-audit [path/to/repo/] [--focus CATEGORY] [--dry-run]Entrées
Dépôt hôte à un commit git épinglé
Sorties
Constats de sécurité dans _inputs/security-audit-findings.md
En aval
L'étape security-audit de la Séquence de Relecture d'Audit
Phases du flux de travail
La commande exécute six phases d'audit : ingestion des entrées, secrets et permissions, validation des entrées et injection, désérialisation et traversée de chemins, CVE des dépendances et CodeQL, et émission des constats avec le portail de validation.
Modes d'échec
| Symptôme | Cause | Récupération |
|---|---|---|
| Prérequis incomplet | Phase dépendante non terminée | Achevez d'abord la phase amont |
| Portail de qualité FAIL | La sortie ne respecte pas les normes | Corrigez la sortie et relancez |
| Cible refusée | Le chemin n'est pas un répertoire de travail git | Passez la racine du dépôt comme chemin |
Exemples
# Dry-run to preview what would happen
/security-audit --dry-run
# Execute against a host repository
/security-audit path/to/repo/Renvois
/perf-audit
/perf-audit — Audite les budgets de performance par classe (runtime des hooks, verify-ecosystem, portail de conformité, tests, travailleurs délégués, shell, lint), selon la méthode USE.
/supply-chain-audit
/supply-chain-audit — Audit de la chaîne d'approvisionnement face aux normes SLSA + Sigstore + SBOM.