eni-code-security-workflow

name	eni-code-security-workflow
description	[DOCUMENTATION ONLY] [仅文档] Source, dependency, supply-chain, SAST, SCA, and remediation workflow for operator-owned repositories.

仅文档：本 Skill 提供方法与检查表，不宣称自带可执行脚本。

代码安全工作流

适用场景

• 自有仓库的源码审计与静态分析（SAST）
• 依赖与供应链风险排查（SCA）
• 漏洞复现、修复与回归验证
• 安全规则落地到 CI 的工程化

工作流阶段

1. 仓库画像

先把代码库的底摸清：

• 语言与框架清单、构建系统、测试体系
• 依赖清单：直接依赖、传递依赖、锁文件状态
• 入口点：对外 API、CLI、事件处理器、文件解析路径
• 历史安全事件与现有安全配置

2. 威胁建模

针对入口点做快速建模：

• 哪些输入流向危险汇聚点（命令执行、SQL、反序列化、文件路径）
• 哪些认证/授权逻辑跨越信任边界
• 哪些依赖处理不可信数据

建模输出一张"输入 → 汇聚点 → 影响"表，作为后续验证的靶子。

3. 分层扫描

三层工具叠加，互不替代：

层	工具思路	覆盖
模式层	Semgrep 风格规则	已知危险模式、框架误用
依赖层	OSV 匹配、lockfile 审查	已知 CVE、恶意版本
制品层	Trivy 风格 SBOM 与配置审查	镜像、IaC、供应链

工具输出一律当线索，不当结论。

4. 人工数据流验证

对扫描命中逐条复现：

• 构造最小触发输入，在本地跑通
• 确认真实可达性：调用链上有没有过滤、校验、权限门槛
• 记录复现命令与输出作为证据

5. 修复与回归

• 在副本或分支上修复，不在生产路径直接改
• 修复原则：在正确的层修（框架配置、参数化、白名单），不打补丁式绕过
• 每个修复配一个回归测试：修复前红、修复后绿

6. 交付

• 发现清单：标题、位置、根因、影响、复现、修复、复测
• 证据索引与工具版本
• 建议的 CI 规则集，把已验证规则固化进流水线

证据要求

• 命令、版本、哈希、证据路径、假设与验证结果全程留痕
• 长跑前持久化检查点

衔接

• 任务触及信任边界或依赖面时，与 eni-supply-chain 的 SBOM/SCA 方法互认
• 收尾交付走 eni-universal-workflow 的 deliver 阶段