开源安全工程手册:只用 GitHub 和免费工具搭起持续安全体系
evilsocket · x · 2026-10-19
BSidesNYC 安全工程工作流的完整内容已在 seceng.guide 公开,目标是让零安全投入的团队只靠 GitHub 和免费工具,从零搭起一套持续安全体系。
- SAST:Semgrep 接入 CI 扫描代码与 PR,并演示如何测试自建的 SAST Action
- DAST:用 Nuclei、ZAP、Nmap 对部署后的应用做运行时扫描,配套实验环境
- SCA:Dependabot 管第三方依赖漏洞
- Secrets:TruffleHog 做密钥泄漏扫描
- AI SAST:用 Claude 做代码安全审查
教程以虚构的 Rails 社交应用「Jester Social」为案例,带读者扮演该公司第一位安全工程师,逐步落地各道防线,含可 fork 的实验 Lab。
「编程与Agent」频道最新
- 开源项目 os-taxonomy 单日涨 427 星，累计破 5800 — withmarbleapp · 2026-10-19
- 开源工具 Headroom 压缩上下文，编码 agent 省 20% token — headroomlabs-ai · 2026-10-19
- 图工程+微模型路由：1000 篇文章一夜分拣只花 4 美分 — blaizedsouza · 2026-10-19
- 用 Claude 打造本地照片搜索应用,索引 1000 张仅 8 秒并开源 — chasedev21 · 2026-10-19
- Every 为 OpenAI 访谈脱敏自建应用，用 AI 定制团队工作流 — every · 2026-10-19
- 管理 22 个仓库上的多个 AI 智能体:如何防冲突?他列出完整方案 — Aruscha · 2026-10-19