secure-code-review

安全代码审查

概述

安全代码审查是识别代码中安全漏洞的重要方法。本技能提供安全代码审查的方法、工具和最佳实践。

审查范围

1. 输入验证

检查项目：

• 用户输入验证
• 参数验证
• 数据过滤
• 边界检查

2. 输出编码

检查项目：

• XSS防护
• 输出编码
• 内容安全策略
• 响应头设置

3. 认证授权

检查项目：

• 认证机制
• 会话管理
• 权限控制
• 密码处理

4. 加密和密钥

检查项目：

• 数据加密
• 密钥管理
• 哈希算法
• 随机数生成

审查方法

1. 静态分析

使用SAST工具：

# SonarQube
sonar-scanner

# Checkmarx
# 使用Web界面

# Fortify
sourceanalyzer -b project build.sh
sourceanalyzer -b project -scan

# Semgrep
semgrep --config=auto .

2. 手动审查

审查清单：

• 输入验证
• 输出编码
• SQL注入
• XSS漏洞
• 认证授权
• 加密使用
• 错误处理
• 日志记录

3. 代码模式识别

危险函数：

# Python危险函数
eval()
exec()
pickle.loads()
os.system()
subprocess.call()

// Java危险函数
Runtime.exec()
ProcessBuilder()
Class.forName()

// PHP危险函数
eval()
exec()
system()
passthru()

常见漏洞模式

SQL注入

危险代码：

String query = "SELECT * FROM users WHERE id = " + userId;
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(query);

安全代码：

String query = "SELECT * FROM users WHERE id = ?";
PreparedStatement stmt = connection.prepareStatement(query);
stmt.setInt(1, userId);
ResultSet rs = stmt.executeQuery();

XSS漏洞

危险代码：

document.innerHTML = userInput;
element.innerHTML = "<div>" + userInput + "</div>";

安全代码：

element.textContent = userInput;
element.setAttribute("data-value", userInput);
// 或使用编码库
element.innerHTML = escapeHtml(userInput);

命令注入

危险代码：

import os
os.system("ping " + user_input)

安全代码：

import subprocess
subprocess.run(["ping", "-c", "1", validated_input])

路径遍历

危险代码：

String filePath = "/uploads/" + fileName;
File file = new File(filePath);

安全代码：

String basePath = "/uploads/";
String fileName = Paths.get(fileName).getFileName().toString();
String filePath = basePath + fileName;
File file = new File(filePath);
if (!file.getCanonicalPath().startsWith(basePath)) {
    throw new SecurityException("Invalid path");
}