DevSecOps

传统模式是阶段式：开发完成提测，安全团队集中测试（门禁式大审），发现问题时返工成本高、发布被卡、安全与交付对立，且只覆盖上线前一阵子。DevSecOps 把安全左移并持续化：安全活动拆小嵌进研发全流程——需求与设计阶段做威胁建模与安全需求（改设计最便宜的时机）、编码期 IDE 提示与 pre-commit 钩子、提交与 CI 阶段自动扫描（SAST、SCA、密钥、镜像）、部署期策略校验（准入检查）、运行期监控与响应。核心转变：安全成为每个工程师的职责（赋能加工具化）而非外部关卡；自动化优先（扫描进流水线，零手动等待）；风险分级放行（高危阻断、中低危记账跟踪）而非一刀切；度量改进（漏洞密度、修复时长、扫描覆盖）。本质是把安全做成流水线的内建质量属性，类似测试左移的演进。能讲左移加自动化加责任共担即达标。

SAST 静态应用安全测试：不运行程序，扫描源码找模式与数据流（污染传播分析），能最早发现问题（本地与 PR 阶段）、覆盖率高、可定位代码行；误报多是痛点，需基线治理与规则调优；放在 IDE 实时提示与提交时增量扫描（全量放夜间）。SCA 软件成分分析：解析依赖清单与锁文件比对漏洞库与许可证风险（Dependabot、Trivy、Trivy 的依赖扫描），准确率高（对的是已知 CVE）、成本几乎为零，PR 上自动升级即闭环；放在提交与每日定时。DAST 动态应用安全测试：对运行中的服务发探测请求（ZAP、Burp 扫描），不依赖语言与框架、看到真实运行时行为（配置、认证后页面）、误报少但覆盖受爬虫深度限制、要求环境可用；放在测试环境部署后的流水线后段与周期任务。三者互补组成纵深，配密钥扫描（gitleaks 类）与 IaC 扫描成完整门禁。能讲三者原理差异与卡点即满分。

镜像构建侧：最小基础镜像（distroless、alpine、scratch）减攻击面，多阶段构建不带构建工具与源码进运行镜像，固定版本 tag 与 digest 锁定（latest 不可复现也防投毒），不把密钥打进层里（构建参数与历史都可见，用挂载或构建期注入并清理），.dockerignore 排除敏感文件，镜像签名（cosign）验来源。镜像内容侧：持续漏洞扫描（Trivy、Grype 扫 OS 包与语言依赖），分级处置——可修复的升级基础镜像、暂无补丁的记录缓解。运行侧：非 root 用户、只读根文件系统加显式可写目录、 Capability 裁剪（drop all 加个别 add）、seccomp 与 AppArmor 配置、不挂 docker socket 与 hostPath 敏感目录、资源限制。准入与分发：私有仓库白名单、K8s 准入校验（只许签名与扫描通过的镜像、禁止 latest）、robot 凭证轮换。能讲构建、内容、运行三层即完整。

失败模式要先知道：密钥硬编码进代码与配置提交 git（历史里永远挖得出）、明文进镜像与环境变量被日志与转储带出、群聊与工单里传生产凭证、长期不轮换的万能 AK。正确姿势：密钥永不进代码仓——预提交钩子加 CI 密钥扫描（gitleaks、trufflehog）兜底，误提交立即轮换而非只删文件（历史已泄露）；集中管理——KMS 与 Vault 类系统存密钥，应用启动拉取或 sidecar 注入，开发环境用本地模拟；最小化与短生命周期——按服务与用途分凭证（不共用一个 AK）、自动轮换（数据库动态凭证按小时签发）、云上用 OIDC 绑定角色免长期密钥、作用域最小（只读就别给读写）；运行隔离——环境变量传递优于文件挂载优于打包进制品，密钥不进日志与错误上报（脱敏清单）、不进前端（任何打包进 JS 的都算公开）；审计——访问日志与异常使用告警（异地调用、突发高频）。能讲「泄露后轮换优先」与 OIDC 免密钥即优秀。

流程闭环：发现（扫描器、告警、外部报告）先验证与定性——是否真实影响（可达性分析：这个组件的漏洞代码路径我们用到了吗）、定级（CVSS 评分叠加业务上下文修正，暴露面与数据敏感度可升降级）；处置决策分四路——升级组件（首选）、临时缓解（WAF 规则、配置关闭受影响功能）、接受风险（不可达且无利用条件，记录审批）、替换方案；修复验证——升级回归防破坏、复测漏洞确认关闭；记录与复盘——漏洞清单状态可追溯、根因（为何引入、为何扫描没拦）与改进项。SLA 按严重度与暴露面分层：互联网可直接利用的严重漏洞数小时内响应（当周或 24 到 72 小时内修复）、高危一周到两周、中危月度窗口、低危随版本迭代；供应链重大事件（log4j 级）启动应急：先盘点影响面（SBOM 查询）再统一处置。配套度量：平均修复时长、超期漏洞数、复发率。能讲可达性判断与分层 SLA 即满分。