代码安全审计是在上线前对源代码进行系统性安全检查的工程活动，目标是找出隐藏在逻辑中的漏洞和隐患，而不是只看功能是否正确。很多大连企业经历过数据泄露、账号被盗、服务器被勒索之后，才意识到安全审计的重要性。审计可以人工进行，也可以借助静态扫描工具，但两者结合效果最好：工具负责全量扫描已知模式，人工负责判断业务逻辑层面的风险。对大连技术团队来说，安全审计不是等出事再做的事后补救，而应该嵌入开发流程，在合并代码、发布上线前作为必经环节，把问题挡在生产环境之外。
SQL注入是最古老也最常见的漏洞。检查方法是全局搜索字符串拼接SQL的代码，凡是把用户输入直接拼进SQL语句的地方都要警惕，例如"select * from user where name='" + userName + "'"这种写法。正确做法是使用参数化查询或预编译语句，MyBatis中用#{}而不是${}，后者会原样拼接，等于放弃防护。还要检查like查询、order by排序字段这类容易被遗漏的位置：排序字段不能用参数占位，必须用白名单校验。审计时可结合sqlmap对接口做实际验证，确认注入点是否真实存在、能否被利用，再决定修复优先级。
跨站脚本XSS检查的是用户输入是否未经转义就输出到页面。富文本、评论、个人资料这类允许用户输入内容的模块最容易出问题。修复方式是输出时根据上下文做HTML转义，现代前端框架默认会转义，但要小心v-html、innerHTML这类绕过转义的接口。CSRF则检查状态变更接口是否校验来源：关键写操作要带上随机Token，服务端校验Referer或Origin，敏感操作如修改密码、绑定手机还要二次确认。这两类漏洞修复成本不高，但一旦被利用，危害面很广，是审计中必须逐项确认的内容。
认证环节重点检查：密码是否使用强哈希算法存储，禁止明文或MD5，应采用bcrypt、Argon2这类带盐值的慢哈希；登录接口是否有失败次数限制，防止暴力破解；会话Token是否设置合理过期时间并支持主动注销；接口是否校验了登录态，而不是只在前端隐藏按钮。还要检查是否存在硬编码的后门账号或万能调试接口，这类代码在开发环境很常见，如果带进生产就是直接的安全缺口。大连企业在每次上线前都应做一次认证相关回归测试，确认鉴权链路完整。
越权是审计中业务逻辑类风险的重灾区。水平越权指用户A能访问用户B的数据，例如订单查询接口只校验了登录态，却没校验订单归属，把URL里的orderId改一下就能看别人的订单。垂直越权指普通用户能调用管理员接口。检查方法是逐一审阅每个查询、修改接口，确认服务端都从会话中取出当前用户身份，再与资源归属做比对，而不是信任前端传来的用户ID。这类漏洞工具扫不出来，必须结合业务流程人工走查，也是审计中最花时间但最有价值的部分。
检查代码仓库里是否有硬编码的数据库密码、API密钥、第三方支付证书。这些信息一旦提交到Git，即使后来删除也会留在历史记录里，必须轮换密钥并使用环境变量或配置中心注入。敏感数据在传输中必须走HTTPS，存储中手机号、身份证号这类字段要做脱敏或加密，日志里禁止打印完整身份证、银行卡。对外返回的接口也要过滤敏感字段，例如用户信息接口不返回密码哈希、不返回内部备注。大连技术团队应把密钥管理纳入规范，明确密钥存放位置、轮换周期和交接流程。
日志看似无害，却是信息泄漏的高发地。检查点包括：请求日志是否打印了完整请求体，里面可能包含密码、验证码；异常日志是否把堆栈信息直接返回给前端，泄漏了服务器路径和框架版本；日志保留周期是否过长，含敏感信息的日志应加密存储或定期脱敏。建议在日志框架层面配置脱敏规则，对手机号、身份证、银行卡字段自动打码，从源头杜绝敏感信息进日志，而不是靠开发人员自觉。
现代项目大量使用开源组件，其中已知漏洞会直接成为系统入口。检查方法是用依赖扫描工具跑一遍：Java用OWASP Dependency-Check或Snyk，前端用npm audit，Docker镜像用Trivy。扫描结果按严重程度分级处理，高危漏洞在72小时内升级修复，中危纳入下个迭代。还要检查是否引入了无人维护的老旧组件，这类组件发现漏洞后官方不再修复，应尽早替换。扫描应集成到CI流水线，每次提交自动触发，新引入有漏洞的依赖直接阻断合并。
供应链风险不止于已知漏洞，还包括依赖被恶意投毒、安装脚本执行危险操作。治理手段有：锁定依赖版本并校验哈希，使用私有镜像源而不是直接拉取公共源；最小化依赖数量，定期清理不再使用的包；CI和部署服务使用最小权限账号，数据库账号按服务拆分，禁止应用用root权限连接。大连企业在引入外部开源组件时要评估其维护活跃度和社区口碑，不能只看功能是否满足，还要看后续安全是否有人兜底。
代码安全审计是一份需要持续投入的清单工程，而不是一次完成的检查。建议大连技术团队把审计要点沉淀成检查清单：注入、认证、授权、敏感信息、依赖五大类逐项打勾，工具扫描与人工走查结合，高危问题限时闭环。把安全左移到开发阶段，问题越早发现修复成本越低，系统上线后的安全水位也会稳步提高。
18140041855 
