准备首次安全审查

开始前准备

• 确认仓库访问授权、系统所有者和审查范围。
• 确定本地或远程执行机器，核对模型、网络与凭据。
• 读取项目构建及验证说明，用测试数据准备环境。
• 指定私密报告目录，避免把漏洞详情提交到公开仓库。

连接代码与工具

从有权访问的检出目录开始。需要外部代码托管时，由实际工具完成授权；每个连接的账号与范围分别确认。插件提供工作流和工具，不会自动提供代码托管权限。

执行一次基线审查

只读审查当前仓库的身份验证、授权、输入处理、文件与网络边界。先核对当前修订版本。每条发现列出位置、攻击前提、代码证据、验证方式和未确定事项。记录已审查与未覆盖的区域。不要修改源代码或访问外部系统。

等待任务终态后核对输出。失败或取消时保留部分结果和错误，不把已产生文件当成完成标记。

审查发现与修复建议

• 先核对目标、修订版本及覆盖情况。
• 逐项检查受影响代码、攻击路径和未证实假设。
• 确认一个问题后才开始修复，保留原始报告。
• 检查补丁、验证记录和正常行为，再决定关闭问题。

安排后续检查

架构、安全控制或代码变化后，使用明确的新任务或团队 CI 重新检查。保留基线与新结果，对比证据与覆盖变化。不要把周期任务或本地脚本描述为自动托管仓库监控。