个人简介

先给大家自报个家门，我是一位在职的测试开发工程师，日常工作除开代码开发还有一系列测试的相关工作，整个工作可谓是相当繁重，加班已经是常态，不加班是奢侈的。因此在保证代码不出 BUG ，软件上线后正常运行的情况下，虽然还需要关注其他层次的问题，例如：服务器的安全性至关重要，对高效、便捷的发现程序、服务器、中间件、数据等一系列环境漏洞的需求还是非常大滴。因此之前就因为这方面的忽略，造成了很大损失。虽然宏哥有心但是真的是无力了。一方面是由于自己缺乏专业的知识，另一方面是自己实在没有精力分出来再关注这方面了。正在一筹莫展之际，阿里云推出了这样一款产品 - 云安全体检，解决了宏哥的燃眉之急，真的是瞌睡了来了个枕头。那就来体验一下它的实际效果怎么样。

2.体验流程

大致流程是：【登录阿里云官网】-【访问安全管控控制台】-【开启体检】-【等待体检结果】-【查看体检结果】

1.登录阿里云官网，第一次进入安全管控控制台 ，如下图所示：

2.点击“立即体检”或者“开启体检”按钮，如下图所示：

3.开启体检后，然后开始授权你要体检的项目（可以点击左右按钮查看要体检的项目），点击“确认授权”，如下图所示：

4.授权后，稍等一段时间后（提示预计耗时30分钟......，结束后短信通知您），等待体检结束。如下图所示：

5.体检完成，短信通知，在安全平台右上角也会有消息提醒你，如下图所示：

6.查看体检结果，并根据实际情况进行修复，如下图所示：

7.点击“待处理的攻击告警”或者“待处理的风险漏洞”，可以进行查看具体的安全风险，如下图所示：

8.进入具体安全风险页面，点击风险项后边的“查看详情”，可以查看风险项详情内容，然后点击”改进建议“后的文档链接，可以查看如何改进修复风险或者漏洞。如下图所示“

9.按照改进建议修复风险项后，重复前边的步骤，再次体检，查看是否修复完成。宏哥已经修复好了（0条风险项），如下图所示：

3.修复过程记录

针对体检问题 ，我认为无需修复，原因是现在账号安全措施足够了，不需要多因素认证（MFA），但是为了体验一下，宏哥在这里就演示一下如何修复。

1.按照改进建议的文档，进入”账号安全中心“，如下图所示：

2.找到虚拟MFA,点击后边的”绑定“按钮，如下图所示：

3.点击”绑定“后，进入身份验证页面，然后发短信验证身份，如下图所示：

4.输入验证码，点击”立即验证“，进入安全设置页面，如下图所示：

5.到这一步后，就需要身份验证器进行操作了，宏哥觉得下载安装APP有点麻烦，于是宏哥先尝试一下是否可以偷懒一下，接下来看看宏哥是如何偷懒的。

3.1小程序身份验证器（推荐）

1.敲黑板了，宏哥嫌弃太麻烦，之前记得客户连接VPN也需要这种认证，直接搜了个小程序不用安装APP就可以认证的，然后宏哥就抱着试一试的心态来尝试一下，当然了你不怕麻烦可以按照官方给的文档进行认证的，如下图所示：

2.进入小程序后，点击”二维码激活“，如下图所示：

3.然后扫描”第五步“安全设置页面的二维码，竟然成功了，那就不必要费事下载安装APP了，如下图所示：

4.进入通过小程序直接扫描以下二维码添加MFA，并获取MFA的动态验证码，然后在下图中输入验证码，最后单击下一步。如下图所示：

5.绑定MFA成功后，刷新账号安全页面，显示已绑定。如下图所示：

哈哈！竟然成功了，说明可以偷懒走捷径哈！

3.2APP身份验证器

1.按照官方文档，去应用市场，下载身份验证器，去安装对应手机操作系统的APP,如下图所示：

2.下载安装APP后，打开进入APP后，点击右上角的MFA图标，如下图所示：

3.点击后，进入如下界面，点击“扫码添加”，如下图所示：

4.点击”下一步“，进入安全设置页面。如下图所示：

5.进入通过APP直接扫描以下二维码添加MFA，并获取MFA的动态验证码，然后在下图中输入验证码，最后单击下一步。如下图所示：

6.绑定MFA成功后，刷新账号安全页面，显示已绑定。如下图所示：

相比两种身份验证器，宏哥推荐第一种（小程序身份认证器），想必大家也喜欢第一种，主要是省时省力。请在评论区给出你的答案。

4.体检项目点评

我认为没有必要的：开启MFA用处不大，原因是账号被盗风险不是很大，有很多手段避免被盗，因此宏哥觉得大多数人这一项都没有开启绑定，还有一些原因如下：

1. 用户觉得现有的单因素认证已经足够安全，认为MFA增加了不必要的步骤；

2. 用户可能在使用MFA时遇到了技术问题，比如设置复杂、验证过程繁琐（宏哥这里还简化一下，下载安装APP）；

3. 用户可能没有意识到当前的安全威胁，低估了账户被盗的风险；

4. 用户所在的项目环境可能确实风险较低，认为MFA带来的安全提升有限。

我认为有必要的：目前风险项还没有发现，宏哥这里看了别人的体检报告和评测，列举几点。

攻击告警检测：帮助我快速定位潜在的入侵行为，极大提升了应急响应效率。

AK泄露检测：这一功能非常实用，尤其是在开源项目日益普及的背景下，有效防止了因代码泄露导致的安全隐患^[3]。

风险配置检查：覆盖了账号安全、网络安全等多个维度，为日常运维工作提供了重要参考。

5.与其他同类产品的对比

阿里云安全体检服务整体表现优秀，能够帮助用户全面了解云上环境的安全状况，并提供实用的修复建议。以下是我的改进建议：

1. 优势

全面性：阿里云安全体检整合了云安全中心、配置审计等多种能力，覆盖范围广，且操作简单易用^[1]。

实时性：支持实时检测和告警，相比其他工具更具时效性。

2. 不足之处

高级功能门槛较高：例如一键修复漏洞等功能仅限付费版本使用，限制了免费用户的体验。

文档细节不足：部分检查项的说明较为简略，需要用户自行查阅相关资料才能完全理解。

3. 改进建议

提供更多免费试用机会，降低高级功能的使用门槛。

增加交互式引导，帮助用户更好地理解和处理检测结果。

引入社区支持机制，让用户可以分享修复经验，形成互助生态。

此外，我还有建议如下：

增加忽略风险项：允许用户根据自己需求忽略一些风险项的修复，不然每次检查都会告警出现用户自己忽略的风险项，避免用户重复查看。

增强定制化能力：允许用户根据自身需求选择检测项目，避免不必要的检测内容。

优化用户体验：提供更详细的修复指导，例如具体的操作步骤和工具推荐。

增加对比功能：允许用户将当前检测结果与历史结果进行对比，直观了解安全状况的改进情况。

‌增加定制化功能‌：满足不同用户的个性化需求，特别是在特定行业或企业的特殊安全需求方面。

‌优化自动化修复工具‌：提高用户的修复效率，减少手动操作。

加强用户教育‌：通过提供更多的安全文档和培训资源，帮助用户更好地理解和应对安全问题。

通过本次体检，我深刻认识到云上环境安全的重要性，并将在未来工作中持续优化安全策略，确保系统稳定运行。

6.个人愚见-开发自己的身份认证器小程序

宏哥觉得现在大多数人如果要开启MFA，到了下载APP这一步就会望而却步，不想再开启了，原因很简单，下载安装后开启后，就可能不会再用到这款APP了，然后小程序就不一样了，用户体验便捷‌：即用即走，启动快，操作流畅。‌

再来看一下小程序相较于APP的核心优势体现在以下方面：

1.开发与维护成本更低

‌开发周期短‌：基于钉钉、支付宝等平台框架开发，无需独立开发环境，API和组件复用率高，显著降低技术门槛和人力投入‌。

‌维护成本低‌：无需适配多系统（如iOS/Android），更新后用户自动获取最新版本，无需手动下载。

2.用户使用便捷性更强

‌即用即走‌：无需下载安装，用户通过扫码、搜索或分享即可快速访问，节省手机存储空间和流量。

‌启动速度快‌：依托平台运行，加载速度优于APP，满足即时性需求（如点餐、扫码支付）‌。

3.推广与流量获取更高效

‌依托平台流量池‌：借助钉钉、支付宝等超级APP的社交属性，通过群分享、附近小程序等入口快速触达用户‌。

‌拉新成本低‌：用户无需注册登录，支付宝、钉钉授权即可完成账户体系对接，减少操作步骤‌。

4.功能与兼容性优化

‌跨平台兼容‌：一次开发可覆盖安卓、iOS和鸿蒙等多个操作系统平台，减少重复开发成本‌。

‌基础功能完善‌：支持调用摄像头、GPS等硬件功能，满足多数轻量级场景需求（如扫码）。

5.更新与审核流程更灵活

‌审核流程简化‌：相比APP应用商店的严格审核，小程序审核周期更短，迭代响应更快‌。

‌无缝更新体验‌：用户无需操作即可自动同步最新版本，提升使用连贯性‌

综上所述：宏哥觉得开发一款这样的小程序是很有必要的。