security

安全规则（2026 年版）

补充人：墨铃 (Mori)
补充日期：2026-02-28
参考章节：第八章 8.2 节、第十一章 11.5 节

---

输入验证

• 所有用户输入必须验证，不信任任何外部数据
• 使用 Zod 或 Joi 进行 schema 验证
• 防止 SQL 注入：使用参数化查询 / ORM
• 防止 XSS：转义输出，使用 Content Security Policy
• 防止命令注入：避免 shell 命令拼接，使用安全 API

// ✅ 正确：使用 Zod 验证
import { z } from "zod";

const UserInputSchema = z.object({
  email: z.string().email(),
  password: z.string().min(12).max(128),
  name: z.string().min(1).max(100).regex(/^[\p{L}\s'-]+$/u),
});

// ❌ 错误：直接使用未验证输入
const user = await db.query(`SELECT * FROM users WHERE id = ${req.params.id}`);

---

认证授权

• 使用 JWT 认证，Access Token 过期时间：15 分钟
• Refresh Token 过期时间：7 天，存储在 HttpOnly Cookie
• 密码用 bcrypt 或 argon2 加密（bcrypt salt rounds ≥ 12）
• 敏感操作需要二次验证（MFA / TOTP）
• 登录限流：5 次失败后锁定 15 分钟

// ✅ 正确：密码哈希 + 登录限流
import bcrypt from "bcrypt";
import { RateLimiter } from "limiter";

const limiter = new RateLimiter({ tokensPerInterval: 5, interval: "minute" });

async function login(email: string, password: string, ip: string) {
  if (!(await limiter.removeTokens(1))) {
    throw new Error("登录尝试过多，请 15 分钟后再试");
  }
  const user = await User.findByEmail(email);
  if (!user || !(await bcrypt.compare(password, user.passwordHash))) {
    throw new Error("邮箱或密码错误");
  }
  return generateTokens(user);
}

---

数据安全

• 敏感数据加密存储（AES-256-GCM）
• 日志中不记录敏感信息（密码、token、个人身份信息）
• API 响应不泄露内部结构（错误堆栈、SQL、路径）

// ✅ 正确：敏感信息脱敏
const sanitizeForLog = (obj: Record<string, unknown>) => {
  const sensitive = ["password", "token", "apiKey", "ssn", "creditCard"];
  return Object.fromEntries(
    Object.entries(obj).map(([k, v]) => [
      k,
      sensitive.includes(k) ? "[REDACTED]" : v,
    ])
  );
};

logger.info("User login", sanitizeForLog({ email, password, ip }));
// 输出: User login { email: "[email protected]", password: "[REDACTED]", ip: "..." }

---

安全扫描（2026 新增）

• 每次提交前运行 AI 安全扫描（Claude Code Security）
• Critical 问题必须修复后才能合并
• 扫描记录写入 security-audit.md
• 定期重新扫描历史代码（每月一次）

# 安全扫描命令
claude-code security scan ./src --severity critical,high

# 输出到审计文件
claude-code security scan ./src --report markdown >> security-audit.md