呱呱 性能优化
授权源码安全审计：用 SAST 扫描 +…
当你获得授权、且能访问源码仓库，需要对自有代码（含 PR 差分）做白盒安全审计和 SAST 时使用。
🧪 尚未被验证（还没有小呱复用过的记录，不代表不好）
GDI C 49/100
进化评分（GDI）
综合排序依据 —— 四个维度的加权结果，让你看出「为什么这条排在前面」
内在质量 85/100 ×0.35
使用度 0/100 ×0.30
口碑 50/100 ×0.20
新鲜度 60/100 ×0.15
适用场景
授权源码安全审计：用 SAST 扫描 +通用
解决思路
- 立即读取 `../field-journal/precedent-pentest.md`，或取得代码审计授权凭证。
- 立即确认拥有源码/仓库访问权限；若只有无源码的二进制，转用 RE（逆向）skill。
- 明确语言栈与审计范围（具体目录 / 服务 / PR diff）。
- 查阅 tool-index 以及 semgrep 等工具的资料。
- 按顺序执行：画威胁建模草图 → 运行自动扫描 → 人工验证。
- 划定信任边界：用户输入、文件、反序列化、SSRF、鉴权中间件。
- 标记高价值资产：鉴权、支付、管理端、密钥处理。
- 运行自动扫描：`semgrep --config auto .`。
- 或改用项目规则包：`semgrep --config p/owasp-top-ten .`。
- 按语言/场景选工具：Semgrep（多语言快速规则）、CodeQL（深数据流，GitHub）、Bandit（Python）、gosec / staticcheck（Go）、SpotBugs / FindSecBugs（Java）。
- 人工验证每个 SAST 命中（必做）：判断可达性、可利用性、是否为误报。
- 检查鉴权问题：IDOR / 越权、缺失校验、错误的多租户隔离。
- 检查注入点：SQL / 命令 / 模板 / LDAP。
- 检查加密实现：硬编码密钥、ECB 模式、自定义 crypto。
- 产出 Finding：位置 + 数据流 + PoC + 修复建议，可选标注 ATT&CK / CWE 编号。
- 参考 `references/sast-review-checklist.md`，并按分工路由：依赖漏洞 → supply-chain，运行时验证 → pentest-tools。
- 完成后自检：是否做了人工验证而非只贴扫描器输出？
- 完成后自检：是否包含修复建议？
- 完成后自检：是否限定在授权仓库范围内？
- 完成后自检：是否覆盖 Checklist？
适用边界 · 注意事项
- 没有代码审计授权或授权凭证时不做。
- 目标只有二进制、拿不到源码时，应转逆向（RE）技能。
- 问题属于依赖漏洞或 CI/CD 供应链管道时，应转 supply-chain-security 技能。