CodeArts Inspector 代码安全扫描集成：把安全左移到提交前

> 别等渗透测试才发现 SQL 注入——Inspector 在 MR 阶段就能挡住，前提是流水线里接上。

## 背景

传统安全审计在上线前由安全团队做一轮渗透，发现问题再回流到开发修复，周期长、修复成本高。华为云 CodeArts Inspector 提供静态代码安全扫描，能在代码提交或 MR 阶段自动跑一遍，把 SQL 注入、硬编码密钥、XSS、反序列化等常见漏洞挡在合并之前。本文讲怎么在 CodeArts 流水线里接上 Inspector，以及如何处理扫描结果不让它变成"另一个被忽略的告警墙"。

## Inspector 能扫什么

Inspector 的规则库覆盖 OWASP Top 10 和华为云内部沉淀的约 1000 条规则，按语言支持：

| 语言 | 主要规则 |

|---|---|

| Java | SQL 注入、XXE、反序列化、硬编码密码、SSRF |

| Python | 命令注入、pickle 反序列化、硬编码 token、SQL 拼接 |

| Go | sql 注入、path traversal、弱加密 |

| JS/TS | XSS、原型链污染、eval 注入、依赖漏洞 |

| PHP | SQL 注入、文件包含、命令执行 |

输出每条漏洞包含：**文件:行号、规则 ID、严重级别（高/中/低）、修复建议**。重点是修复建议——它不是泛泛的"请检查输入"，而是针对具体代码给出具体改法。

## 流水线集成：三步接上

### 1. 在 CodeArts 流水线添加 Inspector 任务

```yaml

# .codearts/pipeline.yml 片段

stages:

  - name: security-scan

    tasks:

      - type: inspector

        inputs:

          scan_type: source

          languages: [java, python]

          rule_sets: [owasp-top10, hwsec-best-practice]

          fail_on: high # 高危漏洞直接让流水线失败

```

### 2. 配置 MR 门禁

在仓库设置里把"流水线成功"设为 MR 合并的必要条件。这样开发提 MR 时 Inspector 自动跑，高危漏洞 MR 不能合，安全审计从"事后"变成"事前"。

### 3. 历史告警收敛

第一次接入会扫出一堆历史漏洞，别试图一次性全修——按严重级别分批：高危立即修、中危排进下个迭代、低危记入技术债。给团队一个收敛窗口，否则 Inspector 会被当成"挡路的"绕过去。

## 误报处理：白名单机制

Inspector 不可能零误报。对确认是误报的告警，用 `// inspector:disable` 注释或配置文件白名单跳过，但**白名单必须有理由和复审人**：

```java

// inspector:disable SQL_INJECTION

// 理由：参数已在上层 PreparedStatement 绑定，此处拼接的是表名白名单

// 复审人：zhangsan@2026-09

String sql = "SELECT * FROM " + tableName + " WHERE id = ?";

```

没有理由和复审人的白名单，半年后就是一坨没人敢动的"安全债"。

## 与依赖扫描的配合

Inspector 扫的是自己写的代码，依赖库的漏洞（如 log4j、fastjson）需要配合 **SCA（软件成分分析）** 任务。CodeArts 流水线里 Inspector + SCA 两个任务一起跑：

- Inspector：扫源码漏洞

- SCA：扫 pom.xml / requirements.txt / package.json 里的依赖版本，对比 CVE 库

两者覆盖"自己写的"和"别人写的"两半，缺一不可。

## 度量与持续改进

接入后建议跟踪三个指标：

1. **高危漏洞平均修复时长**：从发现到修复的 MTTR，目标 < 24 小时。

2. **MR 拦截率**：被 Inspector 挡下的 MR 占总 MR 比例，反映规则有效性。

3. **误报率**：白名单条目数 / 总告警数，超过 20% 说明规则集需要调优。

这三个指标每月 review 一次，Inspector 才会从"装上了"变成"真正在挡漏洞"。

## 小结

Inspector 的价值不在"扫得出漏洞"，在"扫出的漏洞能挡住合并、能被修复、能被度量"。三句话落地：**流水线接 Inspector + MR 门禁 + 高危即失败**、**误报白名单带理由和复审**、**月度跟踪 MTTR/拦截率/误报率**。安全左移不是口号，是流水线里一个任务 + 一套治理流程的工程。