安全左移：把问题挡在上线前

发布时间:2026-09-14 19:43

同一个漏洞，编码阶段改掉只需几分钟，上线后被利用再修，代价按小时甚至按天算。安全左移说的就是把检查点从上线后挪到写代码的阶段。 一、代码扫描：提交时就在检查 静态应用安全测试（SAST）工具检查代码里的常见缺陷，SQL 拼接、硬编码口令、不安全的随机数都在扫描范围。落地的关键是接入日常流程而不是单独立项：代码仓库里配好流水线，每次提交自动扫描，高危问题阻断合并： # CI 配置示例：扫描不过不许合并 sast-scan --project . --severity-threshold high 误报难免，团队的做法通常是指定专人每周清理规则，让扫描结果保持可信。信任一旦丢失，工具就沦为摆设。 二、依赖审计：第三方代码也要过安检 现代应用大半代码来自开源依赖，依赖审计检查的是已知漏洞库里的命中项。每次构建生成依赖清单，比对漏洞库，高危依赖给出升级建议。锁定文件配合自动更新工具，升级动作也是一次评审过的代码变更，可回退、可追溯。 三、上线前检查：一道人工闸门 自动化之外，上线前保留一份人工清单：敏感配置是否全部走配置中心而非写死在代码里；日志是否会打印用户口令、令牌这类敏感字段；新接口的鉴权是否覆盖；数据库账号权限是否按最小化申请。清单不长，十几项，但每一项都对应过真实事故。 四、左移不等于右边不管 上线后的监控、渗透测试、应急演练仍然必要。左移是减少进入生产的问题数量，不是取消生产侧防线，两者的关系是纵深，不是替代。 安全左移的真实回报不是"零漏洞"，而是把漏洞的发现时间从运营期提前到开发期。扫描、审计、检查清单三件套跑顺之后，团队会发现安全问题的处理节奏和普通缺陷已经没什么区别。