代码安全管理操作规程

代码安全管理操作规程代码安全管理操作规程第一章总则与适用范围1.1目的依据为规范代码开发、存储、传输、集成、部署及废弃全生命周期中的安全管控，防范源代码泄露、恶意篡改、后门植入及供应链投毒等安全风险，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及等级保护2.0相关标准，结合企业信息安全管理体系要求，制定本操作规程。1.2适用范围本规程适用于企业内部所有涉及代码活动的组织与人员，具体包括：自研产品及项目的全部源代码、脚本、配置文件、数据库结构定义文件等；外购软件、开源组件及第三方SDK的引入、集成与二次开发过程；外包团队、众包开发者、临时驻场人员等非正式编制的代码贡献行为；代码托管平台、CI/CD流水线、构建服务器、制品仓库等支撑设施。1.3术语定义术语定义代码资产包括源代码、编译脚本、自动化测试代码、部署编排文件、配置文件、数据库脚本等具有知识产权的技术资产敏感信息代码中涉及的口令、密钥、令牌、证书、内部IP地址、业务漏洞描述、客户数据样例等CI/CD流水线持续集成与持续交付的自动化执行链路，涵盖代码拉取、静态扫描、单元测试、构建打包、制品归档及部署发布等环节代码托管平台支撑代码版本管理、分支管理、代码评审及权限控制的集中化平台制品库存储构建产物（如镜像、jar包、npm包）的私有仓库1.4职责分工角色安全职责研发部门负责人落实代码安全规范，监督安全门禁执行，审批安全例外申请安全团队制定与维护安全基线，运营SAST/DAST扫描平台，处置安全告警，审计违规行为架构师/技术负责人把控代码架构安全设计，审核依赖引入风险，主持代码评审安全维度全体开发人员遵守编码安全规范，及时修复安全问题，保护个人账号及开发终端安全运维/DevOps工程师保障代码仓库与流水线基础设施安全，管理访问凭证与权限策略质量保障（QA）在测试阶段验证安全修复有效性，执行安全回归测试第二章开发环境安全规范2.1终端设备管控开发终端是代码资产的第一道防线。所有承载代码开发、调试和存储的终端设备必须满足以下安全要求：（1）磁盘须启用全盘加密（如BitLocker或FileVault），加密密钥由企业统一管理。（2）终端必须安装企业级端点防护软件，并保持病毒库实时更新。未安装或防护失效的终端禁止接入代码网络。（3）操作系统及开发工具的安全补丁须在发布后5个工作日内完成安装，高危漏洞补丁须在24小时内完成。（4）禁止在开发终端上安装来源不明的破解工具、灰色软件及与工作无关的P2P下载程序。（5）开发终端锁屏时间不得超过5分钟，且须使用强口令或生物特征认证解锁。2.2本地代码存储规范（1）代码文件一律存放于企业统一分配的加密工作目录中，严禁将代码存放在公共共享目录、临时目录或个人网盘。（2）开发人员在本地工作区创建的临时调试文件、日志导出文件等，须在当日工作结束时清理或移入加密存储区。（3）严禁在代码注释中记录任何口令、令牌或内部系统访问地址，确需说明的应指向企业密钥管理系统中的条目编号。（4）本地数据库导出文件（含脱敏或未脱敏数据）不得与代码文件混存，须单独存放于更高密级的数据安全区域。2.3远程办公安全（1）远程开发必须通过企业VPN或零信任远程访问网关接入，禁止直接暴露开发端口至公网。（2）远程会话须启用多因素认证，会话空闲超时自动断开，断开后须重新认证方可接入。（3）禁止在公用计算机或他人设备上执行代码拉取、代码浏览及密钥操作。第三章代码开发与编码安全规范3.1编码安全基线各开发团队须在项目启动阶段明确编码安全基线，并将其纳入代码评审的必检项。核心要求包括：（1）输入验证：所有外部输入（包括用户请求参数、请求头、上传文件内容、第三方回调数据、消息队列消息等）必须经过合法性校验后方可参与业务逻辑处理。校验应采用白名单策略，明确允许的字符集、长度范围、格式模式及取值范围。（2）输出编码：所有动态内容在输出至Web页面时须根据上下文进行相应的编码转义处理，防止跨站脚本攻击。针对HTML标签上下文、属性上下文、JavaScript上下文、CSS上下文及URL上下文须分别采用对应的编码策略。（3）认证与会话管理：禁止在代码中硬编码任何认证凭据；会话标识须使用高熵随机数生成，会话超时时间按系统密级设定（一般系统不超过30分钟，高密级系统不超过15分钟）；会话ID须在登录成功后重新生成，防止会话固定攻击。（4）访问控制：业务功能须遵循最小权限原则，每次请求均须校验当前用户的资源归属权和操作权。禁止仅依赖前端隐藏按钮或菜单控制权限，后端接口必须执行独立的鉴权逻辑。（5）加密与密钥管理：敏感数据传输一律使用TLS1.2及以上版本加密；存储的敏感数据须采用国密SM4或AES-256加密算法；密钥不得出现在代码或配置文件中，须通过密钥管理服务动态获取。（6）日志与审计：日志记录不得包含口令、完整令牌、身份证号、银行卡号等敏感数据；异常安全事件（登录失败、越权访问、非法输入）须记录完整上下文信息，便于事后溯源。（7）文件操作：涉及文件上传功能须校验文件类型（按文件内容而非扩展名）、大小、文件头标识，并存储于隔离的存储区域；文件下载须防止路径穿越攻击，对下载文件名进行白名单映射。3.2典型高危漏洞的编码红线以下行为属于编码安全红线，评审时一票否决，必须立即修复后方可合入主干：编号红线行为风险级别R-01使用字符串拼接方式构造SQL语句并直接执行严重R-02在代码或配置文件中硬编码口令、AccessKey、私钥等凭据严重R-03使用不安全的反序列化函数处理外部可控数据严重R-04使用`eval`、`exec`等动态执行函数处理用户输入严重R-05使用已知存在严重漏洞且无缓解措施的组件版本严重R-06越权接口未校验资源归属，任意用户可访问他人数据严重R-07使用弱加密算法（如MD5、SHA1、DES）保护敏感数据高危R-08上传文件未做类型校验且存储于Web根目录可被直接访问高危3.3第三方组件引入规范（1）引入新的第三方依赖前，必须先在企业内部制品库中进行检索，优先使用已审批通过的组件版本。（2）每个第三方组件引入须填写申请记录，注明组件名称、版本号、用途说明、开源许可证类型及已知CVE漏洞情况。（3）禁止使用已停止维护超过两年的开源组件；禁止使用从非官方渠道下载的二进制包。（4）第三方组件升级须评估兼容性与安全修复效果，紧急安全修复（CVSS评分≥9.0）须在72小时内完成升级或采取等效缓解措施。3.4AI辅助编码的安全约束（1）使用AI编程助手（如Copilot、CodeGeeX、通义灵码等）生成代码时，禁止输入企业未公开的业务核心逻辑、敏感算法及客户数据。（2）AI生成的代码片段必须经过安全评审后方可合入主干，评审重点包括：是否存在已知漏洞模式、是否引入了未知依赖、代码逻辑是否可完整理解。（3）禁止使用AI工具对生产环境代码进行自动化重构或批量修改，确需使用的须经过完整的回归测试。第四章代码托管与版本管理安全4.1仓库管理规范（1）代码仓库统一纳入企业级代码托管平台（如GitLab、GitHubEnterprise或Gitee企业版），禁止私自搭建代码托管服务或使用个人公共仓库承载企业代码。（2）新建仓库须提交申请，注明项目名称、仓库类型（公开/内部/机密）、管理员名单和预计参与人员范围。机密级项目仓库须经信息安全负责人审批。（3）仓库命名须遵循统一规范，格式为"项目代号-子模块名称-语言标识"，不得使用包含业务敏感信息的命名。（4）每个仓库须配置以下安全策略：默认分支（master/main）设为保护分支，禁止任何人直接推送代码，所有变更须通过合并请求合入；保护分支的合并请求须至少1名非作者的评审人批准方可合入；仓库访问权限分为访客、报告者、开发者、维护者、所有者五个级别，按实际工作职责最小化分配；强制开启合并请求的流水线检查，流水线未通过不得合入。4.2分支管理策略（1）采用"主干开发+短期特性分支"或"GitFlow"策略，所有特性分支的生命周期不得超过15个工作日。（2）长期存在的发布分支（release分支）须严格控制合并权限，仅允许发布经理及安全审计人员执行合并操作。（3）分支合并时须确保无冲突且已包含目标分支的最新代码，防止因合并操作引入安全回归。（4）所有分支在合并至主干前，代码托管平台的安全扫描服务须完成对变更代码的自动检查，检查项包括但不限于：硬编码密钥、文件内容泄露、依赖漏洞、SAST扫描规则命中情况。4.3代码评审安全要求代码评审是保障代码安全的关键环节，除功能逻辑评审外，须重点核查以下安全维度：（1）评审人须对照本章3.1节编码安全基线和3.2节红线清单逐项核验变更代码。（2）涉及认证授权、支付交易、数据导出、权限变更等敏感逻辑的代码变更，须指定安全团队人员参与评审。（3）代码评审记录须保留完整的评论、修改及结论信息，评审记录保留期限不少于项目上线后三年。（4）评审过程中发现的安全缺陷须在合并请求中明确标注，并关联缺陷跟踪系统中的工单编号。存在严重或高危安全缺陷的合并请求须打回并阻止合入。第五章代码存储与传输安全5.1代码存储加密要求（1）代码托管平台的数据存储层须启用透明加密能力，数据库与文件存储均须采用加密算法进行落盘保护。（2）备份数据须与生产数据采用同等强度加密方案，且备份数据的解密密钥与生产密钥分人分权管理。（3）代码的本地快照或临时拷贝（如开发者本地分支、缓存目录）须在失去工作用途后48小时内彻底删除。（4）离线备份介质（磁带、移动硬盘、光盘）须存放于安防达标的物理保密柜中，并建立借阅台账登记制度。5.2代码传输安全要求（1）所有代码拉取、推送及同步操作必须使用SSH协议（禁用匿名SSL）或HTTPS+强口令/令牌方式，禁止使用明文FTP、Telnet等不安全协议传输代码。（2）禁止使用个人即时通讯工具（微信、QQ等）传输代码文件、补丁包或配置文件。（3）与外部单位进行代码交付时须通过企业指定的安全文件交换系统，并对交付文件进行加密压缩和独立的哈希校验。（4）远程仓库地址中的认证信息禁止明文写入gitremote配置中，须使用操作系统的凭据管理器或git的credentialhelper进行安全存储。5.3敏感信息检测（1）代码托管平台须启用敏感信息扫描插件，对每次推送的代码内容进行自动检测，扫描规则包括但不限于：扫描类别检测模式云厂商密钥阿里云AccessKey、AWSAK/SK、腾讯云SecretId/SecretKey等私钥文件PEM、PPK、OpenSSH格式私钥内容特征数据库连接串包含用户名密码的JDBC、MongoDB、Redis连接串通用口令代码中的password、passwd、pwd字段后跟明文赋值令牌与TokenJWT、OAuthToken、GitHubToken、GitLabToken个人数据身份证号、手机号、银行卡号的合规格式匹配（2）检测到敏感信息推送时，托管平台须立即阻断合入动作并通知安全团队。安全团队须确认该敏感信息是否已泄露至外部，若已泄露须启动应急响应流程。（3）历史代码中存量敏感信息的清理，由安全团队每季度组织一次专项排查，发现一处清理一处并追溯泄露路径。第六章构建与制品安全管理6.1构建环境安全基线（1）CI/CD流水线所使用的基础镜像须来源于企业内部镜像仓库，禁止直接使用互联网上的未知镜像进行构建。（2）构建服务器的操作系统、构建工具链、依赖管理工具须保持安全补丁最新状态，每月至少进行一次漏洞扫描。（3）构建过程中禁止关闭安全插件（如依赖漏洞检查插件、SAST扫描插件），禁止跳过测试阶段强制构建成功。（4）构建环境的访问凭据（如仓库拉取令牌、制品推送凭证）须通过流水线的密钥管理模块注入，禁止明文写入流水线配置文件。6.2流水线安全门禁CI/CD流水线须在以下关键节点设置安全门禁，任一门禁未通过即终止流水线：门禁节点检查内容阻断条件代码拉取后SAST静态扫描（如Fortify、SonarQube、Checkmarx）存在严重或高危漏洞，或漏洞数超过质量阈值依赖解析后开源组件许可证合规检查、CVE漏洞库比对存在CVSS≥7.0的已知漏洞且无缓解措施构建完成后制品完整性校验、镜像漏洞扫描（如Trivy、Anchore）基础镜像或制品存在高危漏洞部署前DAST动态扫描（针对可部署的测试环境）发现可利用的高危安全缺陷安全门禁的规则配置由安全团队统一维护，开发团队如需调整阈值须提交申请并说明理由，经安全团队评估后变更。6.3制品库管理规范（1）所有构建产物须统一推送至企业制品库，禁止构建产物散落在个人终端或个人网盘中。（2）制品库中的制品须设置保留期限：测试版本保留不超过90天，正式发布版本保留不少于三年。（3）制品版本号须与代码标签一一对应，保证可追溯性。任何制品均须能够溯源到对应的源码提交记录和构建日志。（4）制品库的访问权限按项目维度隔离，跨项目拉取制品须经制品所属项目负责人审批。第七章代码上线与发布安全管理7.1上线安全审批流程代码从开发到生产环境的上线，须经过以下安全审批节点的逐级确认：节点一：开发自测确认。开发人员确认已完成安全自测，包括代码静态扫描问题清零、高危漏洞修复验证、安全功能用例测试通过。节点二：测试环境安全验证。QA团队在测试环境执行安全回归测试，验证内容包括：越权访问测试、输入注入测试、认证绕过测试、敏感信息泄露检查。关键系统还须安排渗透测试。节点三：安全发布审批。安全团队根据扫描报告、测试报告及变更风险评估结论，签署是否允许发布的意见。高风险变更须由CISO或授权代表审批。节点四：发布实施与验证。发布完成后运维人员须验证生产环境的版本指纹与制品库记录一致，确认无异常后更新配置台账。7.2紧急发布通道（1）因紧急安全漏洞修复、生产环境严重故障需要立即发布的，可启用紧急发布通道，但须满足以下条件：变更内容仅限安全补丁或故障修复，禁止携带任何功能性需求变更；须经技术负责人和安全团队负责人共同口头批准，并在发布后24小时内补齐书面审批手续；紧急发布完成后须在48小时内安排一次专项安全复盘，评估变更的完整性和副作用。7.3发布后安全监控（1）代码发布后24小时内，安全团队须重点监控以下指标：异常错误日志、认证失败率突增、接口调用异常模式、数据库慢查询异常变化。（2）新版本上线后7天内为安全观察期，观察期内每日输出安全运行摘要，异常情况即时告警。（3）发布回滚操作须确保回滚后的代码版本仍然满足最低安全基线要求，禁止回滚至存在已知未修复严重漏洞的历史版本。第八章代码安全审计与应急响应8.1日常安全审计（1）安全团队每月对代码托管平台进行一次配置合规审计，重点检查：保护分支策略是否被修改、高权限账号是否异常变动、外部成员是否越权访问。（2）每季度对所有代码仓库进行一次全面安全检查，包括：所有仓库的公开/内部可见性设置确认、所有开发者账号权限复核、CI/CD流水线配置审计、敏感信息扫描全量执行。（3）审计发现的问题须出具整改通知单，明确责任人和整改期限。严重问题（如代码泄露、未授权访问）须在发现后2小时内启动应急响应。8.2安全事件应急响应代码相关的安全事件包括但不限于：源代码泄露、恶意代码投递、仓库未授权访问、构建流水线被篡改、供应链投毒等。应急响应的处置流程如下：第一阶段：检测与确认（30分钟内）。安全团队确认事件真实性，初步评估受影响范围和严重级别。第二阶段：遏制与隔离（2小时内）。立即撤销泄露相关的访问凭据、隔离受影响的仓库或服务器、暂停相关流水线运行、保留现场证据。第三阶段：根因分析与清除（24小时内）。分析泄露途径或投毒路径，定位恶意代码的植入点和影响面，彻底清除恶意内容并修复漏洞。第四阶段：恢复与验证（72小时内）。在确保环境干净的前提下恢复服务，进行安全功能验证，确认修复有效性。第五阶段：复盘与改进（事件后7天内）。输出完整的事件报告，更新安全基线规范，开展针对性培训和演练。8.3泄露事件的特别处置源代码一旦确认泄露至外部，须立即执行以下措施：（1）评估泄露代码中包含的敏感信息（密钥、内部架构、业务逻辑），对已泄露的密钥须全部作废并轮换，对涉及的高危逻辑须评估是否需要重构。（2）法律团队介入，评估泄露事件的法律后果并启动相应的维权程序。（3）通知可能受影响的客户或合作伙伴，按合同约定履行告知义务。（4）对泄露源头进行全面排查，确认是否存在内部人员恶意行为，必要时移交司法机关处理。第九章人员安