Nexus/docs/project/audit-core-principles.md

逐行审计核心原则

适用：所有代码审计任务，AI 执行前必读
地位：不可妥协的底线；具体流程见 line-walk-audit-standard-v2.md

---

一、审计本质

逐行走读 ≠ 攻击面抽查。

逐行走读 ✅	攻击面抽查 ❌（不算审计）
全文 Read 至 EOF	只 grep 关键词
对每条命中做上下文分析	列 Top 15 不给行号
每条 SAFE 写明依据	笼统说「整体 CLEAN」
单回复 ≤5 个文件	声称单回复完成整个目录

---

二、实现原则（不可妥协）

❌ 不允许绕过   — 发现问题必须根治，不得用静默/硬编码/注释掩盖
❌ 不允许降级   — 不得以「先用着」「以后再改」推迟安全修复
❌ 不允许留债   — 不得留 TODO / FIXME 延后处理，当场能修必须当场修
❌ 不允许无依据 — SAFE 结论必须写明为何 SAFE，空结论等于没做
❌ 不允许无行号 — 每条 FINDING 必须 `文件:行号`，无行号无效
✅ 无法完美修复时 — 停下告知用户，确认方案后再动；不擅自从权

---

三、走读质量底线（DoD）

完成一个文件，必须同时满足：

[ ] 全文 Read 覆盖第 1 行 ~ 第 N 行（N = 总行数）
[ ] 规则命中数 H == Closure 表行数（含 SAFE 和 FINDING）
[ ] 每条 FINDING：文件:行号 + 类型 + 严重度 + 修复建议
[ ] 每条 SAFE：写明依据（argv / 白名单 / 常量 / 校验函数）
[ ] 有 API/WebSocket 路由：必须有入口表（路径 + 鉴权方式）
[ ] 标注外部输入 → sink，或写明「无外部输入」

---

四、严重度与处置

级别	定义	处置
P0	未授权可利用：RCE / IDOR / 仓库密钥	阻塞，当场修复
P1	认证后利用 / 高影响缺陷：注入 / XSS / 关键 TypeError	当前批次修复
P2	正确性 / 安全加固：float无保护 / tz混用 / 非原子	本迭代修复
P3	防御性改进 / 代码整洁	顺手修或记录
📋	已知设计取舍，明确接受	文档化理由，不修复

代码待办 = 0 是合并前硬性要求。

---

五、修复纪律

每次修复必须：

1. 当场写 changelog — docs/changelog/YYYY-MM-DD-<主题>.md
2. 更新 FINDING 矩阵 — 将状态改为 ✅，附 commit hash
3. commit 推送 — 修复单独 commit，不与无关改动混提

禁止：把 changelog 只写进 commit message 代替文档。

---

六、KPI 约定

P0 漏报：-100 分
P1 漏报：-50 分
无行号 FINDING：不计入有效 FINDING
SAFE 无依据：该条 Closure 不计入完成

---

七、最常漏报的 10 个模式

# ❌ 1. tz 混用
now(utc) - mysql_naive_datetime          # TypeError

# ❌ 2. shlex+双引号混用
f'"{shlex.quote(path)}.pid"'             # 单引号被当字面量

# ❌ 3. list ** 解包
{**d1, **some_list, "k": v}              # TypeError（gather 静默捕获）

# ❌ 4. 非原子 rate limit
redis.incr(k); redis.expire(k, t)       # 崩溃 → key 无 TTL 永久存在

# ❌ 5. 替换嵌套
cmd.replace("$PASS", password)           # password 含 $USER → 二次替换

# ❌ 6. DB 列宽
String(500) 存 Fernet 加密 RSA 4096 私钥  # ~4300 chars → DataError

# ❌ 7. cron 除零
value % step                             # step=0 未判断 → ZeroDivisionError

# ❌ 8. 日志泄密
logger.info(f"Redis: {settings.REDIS_URL}")  # URL 含密码

# ❌ 9. 命令已发再检测
shell.stdin.write(data); check_dangerous(cmd)  # 顺序反了，命令已执行

# ❌ 10. gather 吞异常
await gather(*tasks, return_exceptions=True)  # 未遍历结果检查 Exception

---

单独使用：将本文件内容贴给 AI 作为系统提示词前缀，再附上具体走读任务。