1. 课程导入与安全扫描全景
在开始学习具体的扫描工具和治理流程之前，我们需要先建立一张“全景地图”：代码安全扫描到底在扫什么、为什么值得做、扫描结果如何转化为真正的修复动作，以及本课程会沿着怎样的路径带你从零搭建一套可运行的实战环境。只有把这张地图看清楚，后续每一章的工具操作和缺陷分析才不会变成零散的命令记忆。
一、什么是代码安全扫描
代码安全扫描（Code Security Scanning）是指在软件开发生命周期中，借助自动化工具对代码及其相关资产进行静态或动态分析，识别其中可能被攻击者利用的安全缺陷、配置错误和风险依赖的过程。它的核心目标不是“证明代码没有漏洞”，而是在尽可能早的阶段，以可重复、可度量的方式发现风险，并把风险转化为可跟踪、可修复的工程任务。
与传统的渗透测试相比，代码安全扫描更贴近开发过程：它可以在代码提交、合并请求、构建流水线等节点自动触发，反馈周期从“天”缩短到“分钟”。但它也有边界——扫描工具会产生误报和漏报，因此扫描结果必须经过人工确认和优先级排序，才能真正进入修复环节。
二、安全扫描的核心对象
很多初学者会把“代码安全扫描”等同于“扫描源代码”，这其实是不完整的。一个现代应用的攻击面至少包括四类对象：
- 源代码：业务逻辑中的注入、越权、硬编码密钥、不安全的反序列化等问题，通常由 SAST（静态应用安全测试）工具识别。
- 依赖组件：第三方库和框架中已知的 CVE 漏洞，由 SCA（软件成分分析）工具识别，例如 Log4Shell 这类供应链风险。
- 配置：容器、Kubernetes、云服务、Web 服务器中的不安全配置，例如开放的管理端口、过宽的权限策略、明文存储的凭据。
- 制品：构建产物、镜像、二进制包中残留的敏感信息、调试符号或未修复的依赖，需要在发布前进行制品扫描。
这四类对象对应不同的扫描工具和不同的接入时机。理解它们的区别，是设计扫描策略的前提。
三、缺陷治理闭环
扫描本身不产生安全价值，只有把告警转化为修复动作并验证关闭，才算完成一次治理。一个可运转的闭环通常包含四个环节：
- 发现与确认：工具输出原始告警后，需要人工或规则引擎判断哪些是真实缺陷、哪些是误报。例如 SAST 报告“SQL 拼接”，但该参数实际来自白名单枚举，就应标记为误报并记录原因。
- 定级与排期：结合 CVSS 评分、利用难度和业务影响确定修复优先级。一个公网可达的高危注入，优先级应高于内网工具类的中危问题。
- 修复与变更：修复可能发生在代码层（参数化查询）、依赖层（升级版本）、配置层（收紧权限）或制品层（重建镜像）。每次修复都应关联到具体的缺陷编号。
- 验证与关闭：修复后重新扫描同一目标，确认告警消失且未引入新问题，再关闭缺陷。若修复不彻底，应重新进入定级环节。
四、实战环境搭建
本课程后续章节会围绕一个可运行的示例项目展开。为了让你能跟着操作，这里先给出环境搭建的基线要求。示例项目是一个基于 Java Spring Boot 的简易订单服务，包含一个 MySQL 依赖、一个 Dockerfile 和一份 Kubernetes 部署配置，故意保留若干典型缺陷用于扫描演示。
推荐环境如下（示例参数，可根据本机情况调整）：
| 组件 | 版本/配置 | 用途 |
|---|---|---|
| JDK | 17（LTS） | 编译与运行示例服务 |
| Maven | 3.9.x | 依赖管理与构建 |
| Docker | 24.x 及以上 | 构建镜像、运行扫描容器 |
| Semgrep | 1.x（CLI） | SAST 扫描示例 |
| Trivy | 0.5x | 依赖与镜像扫描 |
| MySQL | 8.0（Docker 启动） | 示例服务数据库 |
环境初始化可以按以下顺序执行。先准备项目目录并拉取示例代码，再启动数据库，最后验证构建是否通过：
# 1. 创建工作目录
mkdir -p ~/sec-scan-lab && cd ~/sec-scan-lab
# 2. 克隆示例项目（示例仓库地址）
git clone https://example.com/order-service-demo.git
cd order-service-demo
# 3. 启动 MySQL 容器
docker run -d --name lab-mysql \
-e MYSQL_ROOT_PASSWORD=Lab@123456 \
-e MYSQL_DATABASE=order_db \
-p 3306:3306 mysql:8.0
# 4. 构建项目，确认基线可编译
mvn clean package -DskipTests
# 5. 验证扫描工具可用
semgrep --version
trivy --version执行完成后，如果 mvn package 输出 BUILD SUCCESS，且两个扫描工具都能打印版本号，说明基础环境已经就绪。此时可以先用 Semgrep 对源码做一次基线扫描，观察原始告警的数量和类型：
semgrep --config auto src/main/java --json -o baseline-sast.json
trivy fs --scanners vuln --format json -o baseline-sca.json .这两条命令分别生成 SAST 和 SCA 的基线结果。建议先不要急于修复，而是打开 JSON 文件，统计告警总数、按严重级别分组，并记录其中哪些看起来像误报。这个基线数据会在后续章节中作为“修复前”的对照，用来衡量治理效果。
五、本课程的学习路径
整门课程会沿着“环境 → 扫描 → 分析 → 修复 → 度量”的主线推进。你会先掌握 SAST 和 SCA 两类最常用的扫描方式，再扩展到配置与制品扫描；随后学习如何对告警做误报判定、优先级排序和修复验证；最后通过一个综合案例，把分散的工具和流程串成一条可落地的治理流水线。每一章都会给出可执行的命令、示例参数和结果判读方法，建议边学边在本地环境中复现。