| 输入处理 | 走查询参数/命令/模板的输入是否校验与转义 |
|---|---|
| 权限 | 接口是否有鉴权与越权校验（横向与纵向） |
| 密钥 | 是否把令牌、证书、内网地址写进代码或日志 |
| 依赖 | 新增依赖的来源、版本与许可证是否合规 |
快速自查命令
快速自查命令
git diff origin/main...HEAD --stat
git diff origin/main...HEAD | grep -nE '(password|token|secret|apikey|BEGIN [A-Z ]*PRIVATE KEY)' || true扫描只能兜底：真正的判断点是这段代码在异常输入与恶意使用者面前是否安全。