代码安全规范

为了提高代码安全，在进行功能开发时，需要注意源码、配置不能暴露的公共网络中，否则容易泄露造成经济损失和安全风险。

问题名称 问题危害 开发建议
代码泄露 代码中包含了重要业务逻辑接口、加解密方式、鉴权方式及未及时修复的漏洞，如果暴露在公网中，可能导致代码泄露，（黑客攻击、内部泄密）后造成较大信息安全隐患。 Git 使用 SSH 或 HTTPS 方式、 不将源码在公网公开
配置泄露 配置泄露会造成数据库、对象存等数据被泄露和删除，危害极大。 不在代码厂库中存放重要配置。使用环境变量替代，前端使用 .env.local 变量文件，后端配置务必放置在配置中心
安全漏洞 攻击者可能利用未修复的安全漏洞，对系统进行入侵，造成较大信息安全隐患。 前后端，必须定期进行安全漏洞检查和修复，确保代码中无中等风险以上的漏洞

代码泄露检查

代码泄露主要是编程操作规范的问题，就需要开发人员注意日常工作中的一些操作，杜绝代码泄露的事情发生。

  • 前端检查，确保 Git 使用 SSH 或 HTTPS 方式，不随意在公网发布业务代码（使用 AI 过程注意代码泄露的风险）
  • 后端检查，确保 Git 使用 SSH 或 HTTPS 方式，不随意在公网发布业务代码（使用 AI 过程注意代码泄露的风险）

配置泄露检查

配置泄露主要需要解决配置安全存储的问题，就需要实现配置不能存储在代码中。

  • 前端检查，不在代码中直接存储重要配置信息，如：对象存储访问密钥、前后端加解密密钥等，由后端接口进行返回
  • 后端检查，不在代码中直接存储重要配置信息，如：对象存储访问密钥、前后端加解密密钥等，存放与配置中心，数据库、Api Key 等重要配置需要进行加密

安全漏洞检查

安全漏洞就需要前端和后端，定期进行安全漏洞检查和修复，确保代码中无中等风险以上的漏洞。

  • 前端检查，借助 VS Code 代码安全检查插件，定期进行依赖组件检查，及时修复。
  • 后端检查，借助代码安全检查、MurphySec Code Scan 等 JetBrains IDE 插件，定期进行依赖组件检查，及时修复。
作者：Ddd4j  创建时间：2026-01-10 13:20
最后编辑：Ddd4j  更新时间：2026-01-11 19:30