AngusSecurity应用场景有哪些？

AngusSecurity 主要用在两个时间点。代码合并和发布前，它是一道安全与合规门禁：合并前拦住源码问题和密钥，发版前检查镜像和制品里的漏洞，让流水线和控制台用同一个结论。项目交付和验收时，它是一次全面体检：把交付物里的安全漏洞、许可证合规和代码质量问题一次查清，再定期巡检历史密钥。整个过程可以在内网完成，代码和报告都留在自己手里。

下面分别说怎么做。

代码合并和发布前：建立安全与合规门禁

1. 合并前拦住源码问题和密钥

适合希望高危问题在进入主分支前就暴露、又不想拖慢合并的研发团队。

目标选 Git 仓库，勾代码安全和密钥检查，扫描深度用快速，门禁阈值设为高危或严重。接入 AngusGit 后，每个合并请求都会自动检查，结论显示在合并请求上。保护规则打开「要求安全检查通过」，仓库再打开「未通过时拒绝合并」，未通过才合不进去。任务还在跑或门禁还在算时，空列表先别当成通过。研发在提交合并请求时就知道这次能不能过，不用等到发布前才返工。

可以先提交一个带测试密钥的改动，确认它会被拦下。

2. 发版前检查镜像和制品

适合镜像或安装包交付之前，需要确认没有高危漏洞和许可证风险的团队。

目标选容器镜像或制品包，勾依赖和制品漏洞；对开源许可证有要求时，再勾上许可证合规。发版的依据是一次状态为「已完成」、门禁结论为「通过」的检查。结论是无法判定或跳过时，常见原因是漏洞库过期或检测没有跑完，先处理好再重新检查。代码质量在质量列，不计入这道安全门禁。

3. 流水线和控制台用同一个结论

适合已经有流水线、希望安全检查结果和控制台显示一致的团队。

在流水线里用命令行发起检查，并用 --fail-on 指定和页面策略相同的那一档。这样页面上是未通过，流水线就会因为退出码 1 而失败。另外让流水线同时读取任务状态和门禁结论，遇到无法判定或跳过时也停下来，由人确认原因。

也可以在编辑器里直接发起检查、查看问题和修复建议，抑制和放行仍在控制台完成。

项目交付和验收时：一次排查各类问题

4. 交付验收前做一次全面扫描

适合外包项目验收、系统上线前评审，或者需要向客户交付安全材料的团队。

把交付的源码上传，或者直接填 Git 仓库、制品包和镜像地址，勾上代码安全、密钥检查、依赖和制品漏洞、许可证合规和代码质量，扫描深度选更深的一档。一次检查就能把安全漏洞、许可证合规和代码质量问题汇总在一起，不用分别跑几套工具再拼结果。

扫完之后在「报告」里生成一份验收报告，封面填上公司名称和密级，导出成 PDF 或 HTML 交给评审方。需要修复的问题转成告警，指派给对应的负责人；修完再扫一次，生成新的报告做对比。

5. 定期巡检历史密钥

适合想把历史代码里的密钥清理干净、又不想每次合并都做全量扫描的团队。

用「策略」设一个定时任务，比如每周对主分支做一次深度的密钥检查。扫出来的密钥片段默认打码，可以放心转给同事看。确认是测试数据或误报的，在这次检查里抑制；真实泄露的，转成告警，指派给负责人跟进修复。报告也可以设成每周或每月自动生成一份，方便定期回顾。

在不能连外网的环境里完成检查

适合代码和漏洞数据都不能离开内网，或者要在客户环境里做验收的团队。

检测程序、规则和漏洞库都可以离线安装在内网。装好后到「工具」页确认每个检测程序和漏洞库都显示可用，再发起一次检查，确认整个过程不需要访问外网。交付物不用传出客户环境，检查结果和报告也都留在本地。漏洞库需要定期离线更新，打开「过期即失败」后，库太旧时检查会给出无法判定，提醒你先更新。

怎么开始

建议两个时间点各试一次。合并前：拿一个仓库，用快速深度、高危阈值，提交一个带测试密钥的改动，确认合并被拦住。验收时：拿一个准备交付的项目，勾上全部检查项做一次深度扫描，导出一份 PDF 报告看看内容是否完整。每个菜单的用途见同系列「AngusSecurity 支持哪些功能」。

文档：https://www.anguskit.com/zh/docs/security
产品页：https://www.anguskit.com/zh/products/security
评估：https://www.anguskit.com/zh/contact/

AngusSecurity 主打代码安全与合规检测，核心覆盖 SAST、SCA、密钥泄露及配置审计场景。

合并前作为 PR/MR 门禁自动触发，扫描新增代码的 SQL 注入、硬编码凭证等高危漏洞，阻断问题合入主干；同时检查依赖组件 CVE，避免引入已知风险。

发版前执行全量深度扫描，结合自定义规则验证业务逻辑安全（如越权、敏感数据处理），生成修复优先级清单；对遗留低危项做风险评估并留痕，确保发布版本无未闭环的高中危问题。

项目验收时输出完整安全报告，涵盖漏洞修复率、合规条款达成情况及第三方组件许可证合规性，作为交付签字依据；若涉及等保或行业认证，可直接复用报告中的证据链，减少重复审计成本。

官方详细解决方案：https://www.aliyun.com/product/list/alibabacloudnative