审计代码仓库工作流

审计仓库工作流

使用捆绑的无依赖审计工具。以证据为先，区分发现项与作者身份、意图、受损或可利用性的证明。

工作流程

1. 解析确切的仓库目录。不得扫描用户声明范围之外的内容。
2. 阅读 references/commands.md 并首先执行只读审计。
3. 总结关键和高危发现、触发每个发现的工作流/事件路径，以及文档化的安全修复措施。
4. 仅当用户请求修复或补丁时才生成补丁。fix 命令输出统一差异文本，且绝不编辑目标仓库。
5. 在推荐应用之前，审查每个提议的补丁。指出需要仓库所有者判断的更改。

防护措施

• 未经单独明确请求，绝不安装防御配置文件、编辑仓库设置、提交、推送、合并、关闭议题或更改权限。
• 不得基于启发式发现将贡献者、账户、拉取请求或提交标记为恶意。
• 将 --fail-on 的退出码 2 视为策略阈值结果，而非审计器崩溃。
• 在 SARIF 或 JSON 输出包含敏感工作流路径或安全详情时，保持其私密性。
• 如果目标不是 Git 仓库，请解释简化的来源上下文，而非凭空编造仓库身份。

输出

返回：审计范围、发现项计数、优先级排序的发现项、证据位置、修复选项、局限性以及是否生成了补丁。