/security-audit
/security-audit — Auditoria abrangente da postura de segurança frente ao OWASP ASVS 4.0 ou posterior e ao OWASP Top 10.
Papel: Auditor de segurança Posição no pipeline: fortaleza
Auditoria abrangente da postura de segurança frente ao OWASP ASVS 4.0 ou posterior e ao OWASP Top 10.
O requisito mínimo do comando é a versão final de correção do ASVS 4.0. Ele não consulta por conta própria versões mais recentes do ASVS. Os achados citam os capítulos do ASVS pelo número e por um título curto, como V5 (Validation, Sanitization, Encoding), V12 (File and Resources) e V14 (Configuration).
Invocação canônica
/security-auditCom argumentos:
/security-audit [path/to/repo/] [--focus CATEGORY] [--dry-run]Entradas
Repositório anfitrião em um commit git fixado
Saídas
Achados de segurança em _inputs/security-audit-findings.md
Downstream
A etapa security-audit da Sequência de Revisão de Auditoria
Fases do fluxo de trabalho
O comando executa seis fases de auditoria: ingestão de entrada, segredos e permissões, validação de entradas e injeção, desserialização e travessia de caminhos, CVEs de dependências e CodeQL, e emissão de achados com o portão de validação.
Modos de falha
| Sintoma | Causa | Recuperação |
|---|---|---|
| Pré-requisito incompleto | Fase dependente não finalizada | Conclua primeiro a fase a montante |
| Portão de qualidade FAIL | A saída não atende aos padrões | Corrija a saída e execute novamente |
| Alvo recusado | O caminho não é uma árvore de trabalho git | Informe a raiz do repositório como caminho |
Exemplos
# Dry-run to preview what would happen
/security-audit --dry-run
# Execute against a host repository
/security-audit path/to/repo/Referências cruzadas
/perf-audit
/perf-audit — Audita frente a orçamentos de desempenho por classe (runtime de hooks, verify-ecosystem, conformity gate, testes, trabalhadores delegados, shell, lint), usando o método USE.
/supply-chain-audit
/supply-chain-audit — Auditoria da cadeia de suprimentos frente aos padrões SLSA + Sigstore + SBOM.