HongHub / Code Check
代码体检报告 · 样本
范围1 仓库
文件 / 行数128 / 18,400
问题11
结论有条件结项
结论：有条件结项。 2 个 P1 必须在付尾款前修复；4 个 P2 列入整改；其余可上线后迭代。样本数据，仅用于展示报告结构。
01 / 问题分布
P1 阻断2
P2 高风险4
P3 中风险4
P4 提示1
02 / 必改项（P1）
| 级别 | 问题 | 位置 | 为什么阻断 | 修复 |
|---|---|---|---|---|
| P1 | 生产密钥硬编码 | src/config.ts:12 | 可直接调用生产环境，泄露即事故 | 移入环境变量并轮换 |
| P1 | 高危依赖未升级 | package-lock.json | 存在公开 RCE 路径 | 升级到修复版本并回归 |
03 / 整改项（P2 / P3）
| 级别 | 问题 | 位置 | 建议 |
|---|---|---|---|
| P2 | 会话 Cookie 缺 HttpOnly | src/auth.ts:44 | 加 HttpOnly/Secure/SameSite |
| P2 | 上传接口未限制类型 | src/upload.ts:18 | 白名单 + 大小限制 |
| P2 | 错误堆栈回显 | src/error.ts:9 | 生产环境关闭堆栈 |
| P2 | 管理接口缺权限校验 | src/admin.ts:31 | 补服务端鉴权 |
| P3 | 依赖版本过期 | package.json | 季度升级 |
| P3 | 日志含手机号 | src/log.ts:22 | 脱敏 |
| P3 | 缺少 CSP | Nginx 配置 | 加基础 CSP |
| P3 | 备份未验证 | 部署文档 | 做一次恢复演练 |
| P4 | 注释含内部地址 | src/api.ts:7 | 清理注释 |
04 / 合同映射
| 问题 | 对应条款 | 验收动作 |
|---|---|---|
| 生产密钥硬编码 | 源码与知识产权 / 安全 | 修复后复扫，确认无密钥 |
| 高危依赖 | 验收标准 4.2 | 升级并跑回归用例 |
| 管理接口鉴权 | 功能验收 / 权限 | 用普通账号访问管理接口，应拒绝 |
05 / 边界
本报告基于样本代码和扫描时点，存在误报/漏报可能；不构成安全担保，不替代渗透测试、等保测评或律师意见。样本已脱敏，不是客户项目。
HongHub 项目护航 · 代码/安全体检 · honghub.cloud/scan/ · 样本报告