TP官方源码在作为开源项目被大量的开发者引用, 不过直接拿来就用往往埋下了安全隐患。本文从代码审计这个话题出发, 聊聊使用之前的关键注意事项。
依赖与密钥管理属于需要被重点审查的内容。如果源代码里面存在没有被清除掉的硬编码状态的私钥或者是API Token, 那么一旦这些信息发生了泄露, 将会带来非常严重的后果。
建议大家使用grep工具对相关内容进行全文搜索以找到可疑的字符串, 然后再对这些字符串一个一个地进行确认, 看看它们是否只是为了占位而使用的示例内容。
咱们在引入第三方依赖的时候, 那个供应链风险是不可以小看它的。只要你把这个版本的哈希给锁定了, 再去查清楚维护者的信息, 还有去好好关注一下CVE发布的公告。这样的话, 你就能够把被那些有毒的模块拖累的可能性给大幅度降低下来。
在生产环境的部署操作开始之前,你必须要完成完整审计这个工作, 你需要去跑一遍静态分析的工具程序, 要去仔细检查权限边界与数据流的状况, 你要确认每一个外部调用的过程都已经走了HTTPS协议, 千万不要在这一步骤上面为了节省时间而偷懒。
