Web 端静态安全扫描

要解决什么问题

上线前或等保自查时，你往往只有几个公开 URL，却需要快速判断：安全响应头是否缺失、Set-Cookie 是否缺少 HttpOnly/Secure，以及前端 JS 里有没有硬编码密钥、用 Math.random() 做验证码、或把手机号/身份证塞进 URL。专业 DAST 工具要装环境、跑很久；本技能面向 Web 前端静态分析（SAST）：只读抓取页面与脚本，用规则做模式匹配，几十秒到两分钟内给出可交付的审计视图。

工作方式

给一个可通过 HTTP 访问的 URL，按四阶段执行：

1. 表面扫描：HTTP 响应头与 SSL/TLS（CSP、HSTS、X-Frame-Options、Cookie 属性等）。
2. 源码提取：下载 HTML 及引用的外部 JS/CSS。
3. 深度扫描：对 JS 按规则表匹配（如 eval/innerHTML、无 CSRF Token 的表单、console.log 敏感字段、PII 出现在查询串等），并标注严重度。
4. 分级报告：输出 HTML 结构化报告，含每条发现的上下文与修复示例；浏览器打印即可导出 PDF。

报告中的示例信息需脱敏，不得写入可追溯到具体业务的域名、API 或密钥。

边界与注意

• 擅长：公开页面的快速初筛、代码级明显问题、安全头与证书表面检查。
• 不做：后端渗透（如交互式 SQL 注入）、DDoS/网络层测试、替代 OWASP ZAP / Burp；默认不扫需登录页面（除非提供认证信息）。
• 误报：纯 grep 式匹配，例如框架里的 innerHTML 可能安全；结果少也可能是混淆/WAF，不代表绝对安全，重要结论应用专业工具二次验证。