演示无法证明交付质量
功能测试通过只能说明主要流程可运行，无法确认权限、数据和危险调用链是否安全。
USE CASE 04
接收外部供应商源码时，把安全验收建立在代码证据上
交付能运行，不代表满足上线要求。验收前扫描完整源码，先定位高风险问题、受影响模块和调用路径，为整改、验收、上线和责任边界提供可追溯依据。
WHY THIS MATTERS
为什么这个场景容易漏掉代码风险？
外部代码的开发过程、依赖和安全假设通常不可见。在验收或接管前发现问题，才能保留明确的整改窗口，并用具体代码证据讨论上线条件和责任边界。
人工通读赶不上验收周期
交付源码目录多、上下文陌生，很难在有限时间内逐文件形成风险优先级。
整改缺少准确证据
只有笼统风险描述时，供应商难以定位问题，双方也无法确认修复范围与验收标准。
COMMON RISKS
更值得优先检查的风险
权限与租户隔离缺失
一个客户、组织或普通账号能够读取和修改其他主体的数据与管理功能。
外部输入直达危险操作
文件、命令、网络和数据查询能力可被请求参数、上传内容或回调数据控制。
凭据与敏感数据处理不当
源码、配置、日志和接口中存在硬编码密钥、内部地址或敏感信息泄漏。
隐藏的管理入口与外联
未经说明的调试接口、默认账号、数据外传或高权限功能进入交付版本。
WHEN TO SCAN
把检查放在三个关键节点
源码交付后、功能验收前
先对与交付版本一致的完整源码建立风险清单和整改优先级。
部署生产或客户环境前
确认上线前必须修复的问题已经复测，部署限制和例外有明确记录。
接手改造或升级前
重新扫描关键变更与完整仓库，避免在陌生历史风险上继续叠加功能。
HOW IT WORKS
从代码到可处理结果
提交交付版本源码
上传完整 ZIP 源码包，或连接与最终交付版本一致的代码仓库。
按代码证据整理整改项
结合漏洞位置、影响路径和修复建议，区分上线前必须修复与限制条件。
完成整改、复测与验收
与供应商确认修复结果、遗留风险和最终验收结论，保留可追溯依据。
判断是否通过安全验收
确认上线前必须整改的问题
决定例外、部署限制与后续审计
FAQ
第三方源码验收常见问题
扫描报告能直接作为验收结论吗？+
它可以作为可追溯的技术证据；最终验收还应结合合同要求、业务影响、部署权限和复测结果。
供应商只提供 ZIP 包可以扫描吗？+
可以。使用与交付版本一致的完整源码包即可开始完整扫描。
发现风险后如何推动整改？+
按上线前必须修复、限制条件后上线和后续跟踪分类，并用代码位置、影响路径和修复建议共同确认优先级。
NEXT USE CASE