概述
Security Guardian 是一套面向开发者的自动化安全审计系统，专注于在代码提交与容器部署前执行强制性安全检查。其核心能力覆盖两大维度：源码级秘密泄露检测与容器镜像漏洞分析，旨在将安全左移至开发早期阶段。
核心用法
秘密扫描是首要防线。通过 scan_secrets.py 脚本递归扫描项目目录，识别硬编码的 API 密钥（如 Gemini、Resend）、数据库密码、SSH 私钥等敏感凭证。一旦检测到违规内容（返回 exit code 1），系统会精确定位文件与行号，并引导用户将凭证迁移至 mema-vault 进行加密隔离。
容器漏洞扫描则针对运行时安全。利用 Trivy 引擎分析 Docker 镜像的 CVE 漏洞，重点标记 HIGH 与 CRITICAL 级别风险。脚本不仅输出漏洞清单，还会智能推荐优化方案——例如将基础镜像切换为 -slim 或 -alpine 变体以缩减攻击面。
显著优点
1. 左移安全（Shift-Left Security）：在代码提交前拦截泄露，避免凭证进入 Git 历史造成不可逆暴露
2. 确定性输出：基于退出码的标准化行为（0 为通过，1 为阻断），天然适配 CI/CD 门禁机制
3. 零信任架构：强制推行凭证隔离原则，消除源码中的明文信任
4. 容器优化联动：漏洞扫描与镜像瘦身建议结合，兼顾安全与资源效率
局限性与风险
- 误报率：模式匹配可能将测试用例中的模拟密钥标记为风险，需人工复核
- 覆盖盲区：仅支持本地文件系统扫描，无法检测运行时注入或环境变量泄露
- Trivy 依赖：容器扫描功能受限于 Trivy 的数据库时效性，零日漏洞可能存在滞后
- 修复成本：发现 HIGH/CRITICAL 漏洞后，基础镜像升级可能引入破坏性变更
适用人群
- DevOps 工程师构建安全流水线
- 全栈开发者进行预提交自检
- 开源维护者保护贡献者凭证
- 安全合规团队实施审计 guardrails
常规风险提示
扫描脚本会读取项目全部文件内容，建议在受控环境执行；mema-vault 迁移需确保目标存储已正确配置加密策略；生产环境部署前务必验证镜像替换后的功能兼容性。