本文目录导读：
代码上线前的漏洞检测是保障系统安全的关键环节，建议结合自动化工具、人工审查和流程规范三个方面进行,以下是一套比较完整的上线漏洞检测方案：
自动化检测工具链
SAST（静态应用安全测试）
在代码提交和构建阶段扫描源码：
- 工具推荐：SonarQube、Fortify SCA、Checkmarx、CodeQL（GitHub）
- ：SQL注入、XSS、CSRF、硬编码密钥、不安全的反序列化
- 集成方式：接入CI/CD流水线，每次commit自动触发扫描
DAST（动态应用安全测试）
在测试环境或预发布环境运行时扫描：
- 工具推荐：OWASP ZAP、Burp Suite、Acunetix
- ：运行时漏洞、配置错误、敏感信息泄露
- 执行时机：API和前端功能基本稳定后
SCA（软件组成分析）
检测第三方依赖的安全性：
- 工具推荐：Snyk、OWASP Dependency-Check、Black Duck
- ：已知CVE漏洞、许可证合规问题
- 重点：重点关注log4j、shiro、struts等常见高危组件
容器镜像扫描（如使用Docker）
- 工具：Trivy、Clair、Anchore
- 检测：基础镜像漏洞、错误配置、敏感文件
人工检测与审查
代码审计（Code Review）
- 重点关注：认证授权逻辑、敏感操作权限校验、数据加密、日志脱敏
- 使用Checklist模板，参考OWASP Top 10
渗透测试
- 上线前由安全团队或第三方进行针对性渗透
- 覆盖：业务逻辑漏洞、越权、爆破、接口安全等
配置安全审查
- 检查：防火墙规则、CORS配置、HTTPS强制、会话管理
- 环境差异检查（开发/测试/生产配置一致性）
上线流程中的关键检查点
提交代码 → SAST扫描 → 构建 → SCA扫描 → 部署到测试环境 → DAST扫描 → 人工Code Review → 渗透测试 → 上线必须在“上线”前通过的关卡：
- ✅ SAST无高危/严重漏洞
- ✅ SCA无已知CVE漏洞（或已评估风险并修复）
- ✅ DAST无严重业务漏洞
- ✅ 人工审计无逻辑漏洞
- ✅ 容器/镜像安全扫描通过
常见应急处理
如果在上线前发现漏洞,建议：
- 高危/严重漏洞：阻塞上线，必须修复后重新检测
- 中危漏洞：评估实际风险，确认不影响核心安全后可通过，但需在后续迭代修复
- 低危/建议：记录到Bug跟踪系统，安排低优先级修复
实用小建议
- 建立安全基线：禁止使用任何已知高危版本的第三方库
- 灰度发布：部分漏洞可以在小流量环境下观察，但建议严格把关
- 自动化优先：人工成本高，先用工具筛掉99%的常见问题
- 定期演练：每季度进行一次全流程漏洞检测演练
如果你希望我帮你梳理某个具体场景（比如Spring Boot项目、前端Vue项目、或者K8s部署）的检测清单,可以告诉我。
