---
name: security-hardening-pipeline
type: pipeline_procedure
when: '安全加固, 安全审计, 安全修复, 漏洞修复, 合规整改, 安全检查, 安全增强'
scope:
  - backend
  - frontend
products:
  - '*'
id: ka-procedure-安全加固流水线
asset_kind: pipeline_procedure
lifecycle_status: active
authority: supporting
owner_mechanism_id: mc-privacy-boundary
routes:
  - code_change
primary_triggers:
  - 安全加固流水线
secondary_triggers: []
negative_triggers: []
priority: P1
specificity: 5
consumes:
  - mc-privacy-boundary
emits:
  - security_audit_report
  - vulnerability_scan_result
  - security_remediation_result
required_evidence:
  - execution_evidence
version: 1.1.0
last_reviewed: '2026-06-01'
stages: ["编码与单元测试", "联调验证"]
---

# 安全加固管线

### 第1步：安全审计
扫描现有代码和配置的安全漏洞（OWASP Top 10 维度）。检查认证授权机制的完整性。检查数据加密和脱敏策略。检查第三方依赖的已知漏洞。
模版：安全审计模版.md
产出保存到：.soloforge/output/01-安全审计.md
工具：sf_classify, sf_analyze

### 第2步：方案设计
按风险等级（Critical/High/Medium/Low）排序修复优先级。针对每个漏洞设计修复方案。评估修复对现有功能的影响。确定合规要求（数据加密/审计日志/访问控制）。
产出保存到：.soloforge/output/02-修复方案.md

### 第3步：安全修复
按优先级逐个修复安全漏洞。每个修复后回归验证功能无影响。禁止降级安全等级来通过测试。
工具：sf_expand

### 第4步：验证验收
重新扫描确认漏洞已修复。代码审查专注安全维度。学习记录（漏洞类型、修复模式、预防规则）。
工具：sf_verify, sf_review, sf_learn

### 第5步：深度安全扫描
运行依赖漏洞扫描（npm audit / OWASP Dependency-Check），高危漏洞阻断构建。运行容器镜像扫描（Trivy / Snyk），检测基础镜像已知漏洞。检查生产环境配置（禁用 debug 模式、关闭 actuator 暴露端点、验证 HTTPS 强制）。

## 检查点
- [ ] 漏洞扫描报告已输出
- [ ] 修复方案已评审
- [ ] 验收扫描无高危漏洞
- [ ] 依赖漏洞扫描无高危漏洞
- [ ] 容器镜像扫描通过
- [ ] 生产配置安全检查通过

## 注意事项
- 修复前必须评估对现有功能的影响，尤其是认证授权模块
- 漏洞修复优先级：Critical > High > Medium > Low，Critical/High 必须在上线前修复
- 误报的漏洞必须记录到白名单并定期复核
