4. 审计基线概念：什么是安全审计基线、基线在CI/CD中的位置、基线 vs 规则 vs 策略

4.1 什么是安全审计基线

安全审计基线（Security Audit Baseline）是在代码审计过程中，为特定语言、框架或业务场景预先定义的一组最低安全要求与可接受风险阈值的集合。它不是一个静态的规则文件，而是一个动态演化的“安全标尺”，用于衡量当前代码状态是否达到预期的安全水平。

在 Go 安全审计中，基线通常包含以下维度：

4.2 基线在 CI/CD 中的位置

安全审计基线必须嵌入到 CI/CD 管道的关键门禁点，形成自动化安全卡口。下图展示了基线在典型 CI/CD 流程中的部署位置：

基线检查在 CI/CD 中的关键原则：

• 左移：越早发现安全问题，修复成本越低。基线检查应在静态分析之后、单元测试之前执行。
• 门禁阻断：基线未通过时，管道应自动阻断，阻止不安全代码进入后续阶段。
• 可配置阈值：不同分支（如 feature、release、hotfix）可设置不同的基线严格度。
• 增量检查：仅检查本次变更涉及的代码，避免全量扫描导致的性能开销。

4.3 基线 vs 规则 vs 策略

在安全审计体系中，“基线”、“规则”和“策略”是三个不同层次的概念，经常被混淆。下表清晰区分了三者的定义、粒度与用途：

三者的关系可以用下图直观展示：

4.4 三者在 Go 安全审计中的协作示例

以 Go 错误码断言审计为例，展示策略、基线、规则如何协同工作：

1. 策略层：安全团队制定“所有 Go 服务必须通过错误码断言安全审计”。
2. 基线层：定义“错误码断言覆盖率 ≥ 95%，且无未处理错误模式”。
3. 规则层：实现具体检查规则，例如：

   // 规则：检查函数调用后是否立即断言错误
   // 匹配模式：f, err := os.Open(...)
   // 违规条件：下一行不是 if err != nil { ... }
   func checkErrorAssertion(node *ast.CallExpr) bool {
       // 检查调用返回值是否包含 error 类型
       // 检查后续语句是否为错误断言
       return hasErrorAssertion
   }

4.5 基线管理最佳实践

• 版本化：基线文件应纳入 Git 管理，随代码库一起演进。
• 可追溯：每次基线变更需记录原因、影响范围与审批人。
• 渐进式收紧：初期可设置较宽松的基线（如覆盖率 ≥ 80%），逐步提升至目标值（≥ 95%）。
• 例外管理：允许通过安全评审的例外申请，但需记录在案并设置过期时间。
• 定期评审：每季度或每次重大安全事件后，重新评估基线是否满足当前威胁模型。