DevSecOps 与左移安全
将安全集成到软件交付生命周期中：左移测试、CI/CD 流水线以及开发者赋能。
快速解答
DevSecOps 通过在 CI/CD 流水线中运行 SAST/DAST、依赖与机密扫描，自动化门禁失败，并向开发者提供修复指导来将安全左移——从而减少后期漏洞。
定义
DevSecOps 将安全嵌入软件开发生命周期的每个阶段，使漏洞能够尽早且低成本地被发现，而不是在发布后才作为审查发现。
它是什么
DevSecOps 将安全视为交付流水线中一等公民般的自动化环节（“左移”），使缺陷在提交/PR 阶段而非生产环境中被发现。
为什么重要
作为后期关卡执行的安全会静默地失效：团队要么照常发布，要么在没有修复指导的情况下被阻断。带有可操作发现的自动化门禁能同时缩短修复时间并减少被发布的漏洞。
它如何工作
- 在 CI/CD 中，对提交运行 SAST、依赖/SCA 扫描、机密扫描，并在审查环境中运行 DAST（见
security:code-review-static-analysis）。 - 对阻断级严重程度的发现使构建失败；以清晰的修复指导进行分级处理。
- 维护 SBOM 及依赖固定/更新（见
security:sbom-supply-chain）。
检测
- 合并了 KEV 清单中易受攻击依赖的 PR → 引擎失败（见
guides:tool-cve-guide）。 - 机密（API 密钥、令牌）被提交并推送 → 立即轮换。
缓解
- 为每个 PR 流水线添加安全作业；定义基于严重程度的门禁。
- 强制使用已签名/固定的依赖、最小权限范围以及机密管理器（见
security:secrets-management）。
调查
将生产环境中的漏洞追溯至其引入时间以及流水线门禁未能捕获的原因；优先处理 KEV/已被利用的版本。分级处理见 guides:tool-cve-guide。