/security-audit
/security-audit — OWASP ASVS 4.0 या उसके बाद के संस्करण और OWASP Top 10 के विरुद्ध व्यापक सुरक्षा-मुद्रा ऑडिट।
भूमिका: सुरक्षा ऑडिटर पाइपलाइन स्थिति: फ़ोर्ट्रेस
OWASP ASVS 4.0 या उसके बाद के संस्करण और OWASP Top 10 के विरुद्ध व्यापक सुरक्षा-मुद्रा ऑडिट।
इस कमांड की न्यूनतम सीमा ASVS 4.0 का अंतिम पैच रिलीज़ है। यह नए ASVS रिलीज़ स्वयं नहीं खोजता। फ़ाइंडिंग ASVS अध्यायों को संख्या और संक्षिप्त शीर्षक से उद्धृत करती हैं, जैसे V5 (Validation, Sanitization, Encoding), V12 (File and Resources), और V14 (Configuration)।
विहित आह्वान
/security-auditतर्कों के साथ:
/security-audit [path/to/repo/] [--focus CATEGORY] [--dry-run]इनपुट
पिन किए गए git कमिट पर होस्ट रिपॉज़िटरी
आउटपुट
सुरक्षा निष्कर्ष _inputs/security-audit-findings.md पर
अनुप्रवाह
ऑडिट समीक्षा अनुक्रम का security-audit चरण
वर्कफ़्लो फ़ेज़
यह कमांड छह ऑडिट चरण चलाता है: इनपुट इनजेस्ट, सीक्रेट और अनुमतियाँ, इनपुट-सत्यापन और इंजेक्शन, डीसीरियलाइज़ेशन और पाथ ट्रैवर्सल, निर्भरता-CVE और CodeQL, और सत्यापन गेट के साथ निष्कर्ष उत्सर्जन।
विफलता मोड
| लक्षण | कारण | पुनर्प्राप्ति |
|---|---|---|
| पूर्वापेक्षा अपूर्ण | निर्भर फ़ेज़ समाप्त नहीं हुआ | पहले अपस्ट्रीम फ़ेज़ पूरा करें |
| गुणवत्ता गेट FAIL | आउटपुट मानकों पर खरा नहीं उतरता | आउटपुट ठीक करें और पुनः चलाएँ |
| लक्ष्य अस्वीकृत | पथ git वर्किंग ट्री नहीं है | रिपॉज़िटरी रूट को पथ के रूप में दें |
उदाहरण
# Dry-run to preview what would happen
/security-audit --dry-run
# Execute against a host repository
/security-audit path/to/repo/