《源代码安全审计规范》核心要点解读

GB/T39412-2020信息安全技术

代码安全审计规范源代码安全审计规范核心要点解读汇报时间：2026标准认知基线建立对GB/T39412-2020的整体认知审计流程闭环沿四阶段流程理解审计如何开展四大缺陷维度逐层拆解四类安全缺陷审计技术方法体系掌握工具与人工结合的方法论合规落地实践对接等保体系并推动整改闭环CONTENTS内容导览GB/T39412-2020核心要点解读五章结构·全片认知地图0102030405标准认知基线从标准号到审计条款，先看清全貌01GB/T39412-2020一项推荐性国标确立审计基线GB/T39412-2020《信息安全技术

代码安全审计规范》推荐性国标TC260归口2020-11-19发布2021-06-01实施2027复审继续有效规定审计过程，以及四类典型审计指标及证实方法——安全功能缺陷01代码实现安全缺陷02资源使用安全缺陷03环境安全缺陷04适用于指导代码安全审计相关工作GB/T39412-2020标准条款要点解读04/30GB/T39412-2020标准覆盖范围有哪些边界适用范围标准适用于什么、审计落在哪适用对象各类软件系统的源代码审计覆盖形态企业级应用·移动应用·云计算平台·物联网设备审计落脚点源代码层面的安全问题不包含以下内容不在本标准能力边界之内软件分析、设计、测试、部署等层面的弱点硬件安全审计与物理环境安全评估非技术性安全管理如组织安全政策制定特定行业法规合规审计仅当内容与代码安全直接相关时才纳入考量源代码安全审计规范核心要点解读05/30GB/T39412-2020审计目的直指源代码弱点三大目的识别安全缺陷发现

SQL注入、跨站脚本、缓冲区溢出、访问控制缺陷，防潜在攻击评估安全合规性验证代码是否符合

GB/T25069、GB/T35273

等引用标准及行业最佳实践提升软件安全性减少风险，支撑安全管理决策五大原则01客观公正结果基于事实02规范采用标准化流程03全面覆盖安全功能、实现逻辑、资源管理、运行环境04可追溯记录完整可回溯05适度安全避免过度复杂机制影响可用性源代码安全审计规范核心要点解读06/30GB/T39412-2020九章两附录撑起审计框架框架结构9章正文2个资料性附录第1–3章范围·引用文件·术语定义第4–5章审计概述·审计过程第6–9章四类缺陷审计逐章展开附录A/B审计报告模板·代码示例审计条款97条审计条款覆盖四个维度安全功能缺陷审计维度一代码实现安全缺陷审计维度二资源使用安全缺陷审计维度三环境安全缺陷审计维度四语言适用条款针对

C语言等结构化语言与

Java

等面向对象语言分别制定主要起草单位·八家机构中国科学院信息工程研究所、中国信息安全测评中心、公安部第三研究所等源代码安全审计规范核心要点解读07/30审计流程闭环准备、实施、报告、跟踪，四步闭环02GB/T39412-2020审计准备先定目的与边界先定目的采购外包测试、产品认证、安全自查，场景不同，评估口径随之不同。再圈边界背景调研摸清应用场景、目标客户、开发流程与状态报告；结合核心业务模块与敏感数据场景，锁定权限控制、接口调用等关键逻辑，避免测试盲区。03·资料先行提前收集，锁定重点区域源代码安装包、版本说明文档业务需求规格书、系统架构设计图相关合规标准源代码安全审计规范核心要点解读09/300102GB/T39412-2020准备阶段还要守住保密线保密纪律先行源代码是组织核心资产，准备阶段须签署保密协议；审计人员应具备专业知识，客观呈现问题并保守代码秘密。检查清单落地STEP1完成背景调研STEP2阅读代码程序结构·主要功能模块·编程语言STEP3初步制定审计检查列表STEP4按审计人员身份调整外部审计/内部审计检查列表是把标准条款落到具体审计动作的抓手，后续实施阶段将依据它逐项核对，避免只凭经验随意翻查。源代码安全审计规范核心要点解读10/30GB/T39412-2020实施阶段工具人工并用工具先行，人工兜底先由专业源代码审查工具扫描，产出审计结果报告；再对审计问题与标准审计项逐一人工核对。误报靠排除，漏报靠交叉工具存在误报与漏报：误报通过人工对比核查排除；漏报则要求多个工具交叉审计。时机与分工审计时机审计主体实施粒度源代码安全审计规范核心要点解读11/30代码编写完成后系统集成测试前内部审计：开发团队执行外部审计：第三方开展按时间进度或代码里程碑划分按函数或功能模块做单元审计按人员分工交叉审计GB/T39412-2020审计报告分级呈现风险先澄清，再定稿。初始审计结果先交项目成员确认，排除误解后形成正式报告。01报告四要素总体描述审计结论安全风险分类风险按三级划分高中低02漏洞详情与评级逐条记录类型、位置、触发条件依据

CVSS评分定级，再结合业务影响调整——是否涉及核心数据03分级排序依据可利用性造成的影响弥补代价04修复建议必须落到具体方案，禁止笼统写“加强过滤”。报告最终作为测评机构、甲方验收与认证的重要凭证。源代码安全审计规范核心要点解读12/30GB/T39412-2020改进跟踪形成了闭环现状开发团队修复漏洞后，若只做纸面整改，审计结论缺乏验证基础。做法对修复后的代码进行回归审计，确认问题被彻底解决，而非流于形式。闭环链条审计修复复审形成可追溯闭环闭环价值防止漏洞修复引入新问题记录共性问题根因，反哺长期代码安全规范审计从一次性检查转变为持续改进机制源代码安全审计规范核心要点解读13/30四大缺陷维度安全功能、代码实现、资源使用、环境安全03GB/T39412-2020数据清洗审计入口与出口输入验证入口侧检查关键状态数据是否可被外部控制验证用户提交数据的真实性排查绕过净化与验证的路径未经校验的输入是

SQL注入、命令注入的直接来源输出编码出口侧检查输出到页面的数据是否完成转义或编码防止跨站脚本攻击与重定向后执行额外代码审计应沿输入从接收、处理到存储或输出的全路径，逐环验证过滤与编码措施是否到位。源代码安全审计规范核心要点解读·数据清洗15/30GB/T39412-2020加密保护拒绝弱密码弱随机密码安全须符合国家密码管理规定，采用强加密算法密钥管理得当，源码中禁止硬编码密钥随机数安全随机数须具备充分信息熵避免可预测随机源，防止令牌、会话标识被推算敏感信息暴露检查日志、缓存、错误页面是否泄露明文密码、API密钥、数据库凭证发现硬编码密钥或调试信息散落源码，标记为高优先整改项高优先整改项源代码安全审计规范核心要点解读16/30GB/T39412-2020访问控制坚持最小特权01·身份鉴别登录失败不泄露信息登录失败提示不得区分用户名或密码错误，并限制失败频率，防暴力破解。02·权限管理关键操作权限校验遵循最小特权，核查越权访问、权限提升、权限滥用，关键操作须做权限校验。03·日志安全审计信息完整可查过滤特殊元素防日志注入，避免必要审计信息丢失或遗漏。三项审计点与

等保2.0身份鉴别、访问控制要求

直接对应，是测评机构重点核查环节。源代码安全审计规范核心要点解读17/30GB/T39412-2020面向对象与并发各有雷区审计时结合框架特性与多线程模型，逐条核对数据隔离与同步机制。源代码安全审计规范核心要点解读18/30面向对象程序泛型与非泛型混用类型擦除引发运行时风险返回类私有可变成员引用内部状态被外部直接篡改并发程序静态字段混用会话数据不同会话间信息泄露共享资源并发访问竞态条件、死锁、线程安全问题GB/T39412-2020函数异常指针三线并查函数调用外部输入不得控制格式化字符串；调用参数须验证；禁止返回栈变量地址。C语言中尤为典型异常处理机制须标准化；异常信息不得向用户暴露堆栈、路径等内部结构。内部结构信息保护指针安全禁止不兼容类型指针访问变量，防止类型混淆与越界读写。类型混淆·越界读写三类问题统一以数据流分析追踪：不可信输入是否进入危险函数调用路径源代码安全审计规范核心要点解读·代码实现缺陷审计19/30GB/T39412-2020资源使用缺陷盯紧生命周期资源管理避免重复释放，确保及时初始化与清理。内存管理分配与释放函数成对调用，排查访问已释放内存与内存泄漏。数据库使用及时释放连接；动态拼接查询语句是

SQL注入重点排查对象。文件管理避免使用过期文件描述符；安全使用临时文件，防止路径穿越。网络传输避免端口多重绑定；控制网络消息容量，防止恶意报文触发拒绝服务攻击。源代码安全审计规范核心要点解读20/30GB/T39412-2020环境缺陷藏在配置与依赖里环境安全审计盯住代码运行所依赖的外部条件，功能与实现层审不到的地方，往往是攻击者最先下手的突破口。遗留调试代码部署环境不得残留任何调试类痕迹。部署时禁止残留：调试接口测试后门详细错误输出第三方软件安全引入的第三方代码须来源可靠、版本经核查，及时更新已知漏洞组件。历史高危组件重灾区：Log4jStruts2Fastjson重要配置信息保护敏感配置须加密或采取其他保护措施。禁止直接写入源码：硬编码密码API密钥数据库连接串源代码安全审计规范核心要点解读·环境安全审计21/30技术方法体系工具初筛，人工深挖，动静结合04GB/T39412-2020静态分析在开发阶段发现问题SAST原理不运行程序，解析语法树，追踪控制流与数据流，识别危险函数调用与输入污染路径。优势覆盖全量代码、成本低，可嵌入开发阶段，连未执行到的死代码漏洞也能发现；主流工具自动检测缓冲区溢出、SQL注入、跨站脚本。局限对运行时依赖识别弱，动态拼接SQL难以捕捉；易误报，未实际调用的危险函数也会被标记。SAST的输出必须经过人工核实。源代码安全审计规范核心要点解读23/30GB/T39412-2020动态分析与模糊测试补位DAST动态验证运行环境中监控行为，构造特定输入触发漏洞、观察响应，验证实际可利用性，减少误报。局限：依赖执行路径覆盖，未执行代码无法审计。IAST交互式分析结合静态与动态，兼顾效率与精度。模糊测试输入大量随机或异常数据，检测程序对异常输入的健壮性，防止崩溃或被植入恶意代码。三种方法各司其职，与SAST形成动静结合的完整检测链。源代码安全审计规范核心要点解读24/30GB/T39412-2020工具选型看精度与集成度选型三要素支持语言检测精度集成方式工具支持语言检测精度集成方式CheckmarxJava、C#、Python较高常规集成SonarQube多语言中等Maven/CI插件FortifyC/C++、.NET较高常规集成动态分析配合动态分析常配合

BurpSuite、ZAP

开展信创场景优先选用国产静态检测工具——启明星辰、绿盟、安恒、长亭、山石网科等产品系列不追求单点最强，看整套链路的覆盖与集成成本源代码安全审计规范核心要点解读25/30123GB/T39412-2020安全左移把审计嵌入流水线为什么左移漏洞发现越晚，修复成本越高。上线前集中审计意味着漏洞已存在数周甚至数月。SAST静态扫描源码，发现高危漏洞即阻断合并DAST对运行态应用做动态检测SCA识别开源组件中的已知CVE覆盖节点代码提交静态扫描依赖扫描构建部署安全问题在生产前被拦截责任前移安全不再是安全团队的收尾动作，而是每一位开发者的日常提交动作源代码安全审计规范核心要点解读26/30合规落地实践从标准到体系，从审计到整改05GB/T39412-2020一张引用矩阵定配套标准语言级漏洞测试GB/T34943-2017C/C++漏洞测试GB/T34944-2017Java漏洞测试GB/T34946-2017C#漏洞测试质量与行业依据