tiered-audit

介绍

在日常开发中，代码库的安全和质量问题往往分散在多个维度：git历史中的敏感信息泄露、目录级别的安全隐患、以及全量代码的合规审查。tiered-audit 提供了一套结构化的三层审计方案，第一层审计 git 提交历史，检测误提交的密钥、密码或敏感文件；第二层执行定向扫描，针对关键目录或高风险模块进行深度检查；第三层进行全量代码审查，覆盖所有代码文件的潜在问题。每层审计之间设有门控机制，只有通过当前层才能进入下一层，从而确保审计的逻辑严密性和结果可靠性。

使用方式非常简单：在项目仓库中运行 tiered-audit 命令，它会自动拉取 git 历史，基于内置规则和自定义配置进行扫描，并输出分层报告。你可以通过配置文件指定需要扫描的目录、敏感信息模式、以及门控条件。例如，你可以设置 git 历史发现敏感信息时直接终止审计并告警，或者定向扫描发现高风险漏洞时暂停并等待人工确认。整个流程无需手动干预，适合集成到 CI/CD 流水线中作为代码提交前的质量门禁。

这款工具最适合后端开发、运维工程师和测试工程师。后端开发可以用它确保每次提交不会引入安全风险；运维工程师可以快速审计历史提交中的配置泄露；测试工程师可以在回归测试前用它对代码库做一次全面的合规检查。此外，对于需要满足监管合规要求（如 PCI-DSS、SOC 2）的团队，这款工具能大幅降低人工审计成本和遗漏风险。

使用建议：首次运行前请仔细配置规则文件，避免误报或漏报。建议先在小规模分支上测试，再部署到主分支。注意，该工具会完整扫描 git 历史，对于大型仓库可能需要较长时间，建议配合增量扫描策略使用。另外，不要将其作为唯一的安全审计手段，它更适合作为自动化检查的补充，与人工审查相结合才能达到最佳效果。