tiered-audit

介绍

在代码开发和维护过程中，安全与合规问题往往分散在历史提交、当前代码和依赖中，逐一排查既耗时又容易遗漏。tiered-audit 提供了一套结构化的三级审计流程：首先分析 Git 历史记录，发现敏感信息泄露或异常变更；然后运行针对性扫描，检查常见漏洞、硬编码密钥和配置风险；最后执行全面审查，覆盖代码质量、合规性和安全最佳实践。每级审计之间设有门控机制，只有前一级通过才会进入下一阶段，确保审计结果的可靠性。

使用方式非常简单：将 tiered-audit 安装到项目目录后，运行一条命令即可启动全流程审计。它会自动识别项目语言和框架，生成分阶段的审计报告，并在每个阶段结束后输出通过/失败状态。如果门控失败，会给出明确的修复建议，支持与 CI/CD 流水线集成，实现自动化质量门禁。

tiered-audit 特别适合运维工程师、测试工程师和后端开发人员，尤其是那些需要频繁进行安全审计、合规检查或代码审查的团队。对于开源项目维护者、DevOps 工程师以及需要满足监管要求的金融、医疗等行业开发者，这个工具能显著降低人工审计的负担，同时提高覆盖率。

建议在项目启动初期就集成 tiered-audit，将其纳入持续集成流程。注意，首次审计可能因历史记录较长而耗时较久，建议先对最近几个版本运行 Git 历史扫描模块。对于纯前端项目或小型脚本，可以跳过全面审查阶段以节省时间。门控阈值可根据团队安全策略自定义，避免过度拦截正常变更。