/security-audit
/security-audit — Всесторонний аудит состояния безопасности по OWASP ASVS 4.0 или новее и OWASP Top 10.
Роль: Аудитор безопасности Позиция в пайплайне: последовательность аудиторских проверок
Всесторонний аудит состояния безопасности по OWASP ASVS 4.0 или новее и OWASP Top 10.
Нижняя граница для команды — финальный патч-релиз ASVS 4.0. Сама команда более новые релизы ASVS не ищет. Замечания ссылаются на главы ASVS по номеру и краткому названию, например V5 (Validation, Sanitization, Encoding), V12 (File and Resources) и V14 (Configuration).
Каноническое обращение
/security-auditС аргументами:
/security-audit [path/to/repo/] [--focus CATEGORY] [--dry-run]Входы
Репозиторий хоста на закреплённом коммите git
Выходы
Находки безопасности в _inputs/security-audit-findings.md
Ниже по потоку
Стадия security-audit Последовательности рецензирования аудита
Фазы рабочего процесса
Команда выполняет шесть фаз аудита: приём входных данных, секреты и разрешения, валидация входных данных и инъекции, десериализация и обход путей, зависимости с CVE и CodeQL, а также выпуск находок с шлюзом валидации.
Режимы отказа
| Симптом | Причина | Восстановление |
|---|---|---|
| Предпосылка не выполнена | Зависимая фаза не завершена | Сначала завершите вышестоящую фазу |
| Шлюз качества FAIL | Выход не соответствует стандартам | Исправьте выход и перезапустите |
| Цель отклонена | Путь не является рабочим деревом git | Передайте корень репозитория в качестве пути |
Примеры
# Dry-run to preview what would happen
/security-audit --dry-run
# Execute against a host repository
/security-audit path/to/repo/Перекрёстные ссылки
/perf-audit
/perf-audit — Проводит аудит по бюджетам производительности для каждого класса (среда выполнения хуков, verify-ecosystem, шлюз соответствия, тесты, делегированные исполнители, shell, lint) методом USE.
/supply-chain-audit
/supply-chain-audit — Аудит цепочки поставок относительно стандартов SLSA + Sigstore + SBOM.