---
name: security-audit
when: '安全审计, 安全扫描, 漏洞检查, 安全评估'
scope:
  - backend
  - frontend
products:
  - '*'
id: ka-artifact_template-安全审计模版
asset_kind: acceptance_template
lifecycle_status: active
owner_mechanism_id: mc-generic-artifact
authority: supporting
routes:
  - '*'
primary_triggers:
  - 安全审计
  - 安全扫描
  - 漏洞检查
  - 安全评估
priority: P2
specificity: 3
version: 1.1.0
last_reviewed: '2026-06-01'
consumes: []
emits:
  - acceptance_report
secondary_triggers: []
negative_triggers: []
type: acceptance_template
stages: ["编码与单元测试"]
---

# 安全审计报告

## 1. 审计范围
- 审计对象：
- 审计时间：
- 审计方法（静态扫描/动态测试/人工审查）：

## 2. 漏洞清单
| 编号 | 漏洞类型(OWASP) | 风险等级 | 影响范围 | 所在文件/接口 | 描述 |
|------|----------------|---------|---------|-------------|------|
| SEC-01 | SQL注入 | Critical | | | |
| SEC-02 | XSS | Critical | | | |
| SEC-03 | 越权访问 | High | | | |
| SEC-04 | 敏感信息泄露 | High | | | |
| SEC-05 | CSRF | Medium | | | |

## 3. 认证授权检查
- [ ] 所有写接口有权限校验
- [ ] Token 有过期机制
- [ ] 密码加密存储（BCrypt）
- [ ] 无硬编码密钥/密码
- [ ] 敏感操作有二次验证
- [ ] API 接口是否有认证和授权保护
- [ ] 是否有速率限制防暴力攻击

## 4. 数据安全检查
- [ ] PII 数据脱敏展示
- [ ] 敏感字段加密存储
- [ ] 日志不含敏感信息
- [ ] 数据导出有权限控制
- [ ] 敏感数据传输是否使用 HTTPS 加密
- [ ] 敏感数据存储是否加密（密码 BCrypt、身份证 AES）
- [ ] 错误信息是否屏蔽技术细节
- [ ] 是否有操作审计日志

## 5. 依赖安全检查
- [ ] 第三方依赖是否有已知漏洞扫描
- [ ] 是否有 SQL 注入/XSS/SSRF 防护措施

## 6. 修复计划
| 编号 | 修复方案 | 计划完成时间 | 责任人 |
|------|---------|------------|--------|
|      |         |            |        |
