CI 门禁中的安全扫描误报处理策略

代码改完，CI 却被安全扫描卡住，开发说“这是误报”，安全人员又不敢放行。处理这类争议，最怕把“赶着上线”当成误报证据。门禁像烟雾报警器：可以核查是不是做饭冒烟，但不能嫌吵就拆掉。

先分清误报和风险例外

误报是规则判断错了，风险例外则是问题存在、暂时获准保留。 两者不能混着处理，否则一次临时放行，就可能变成长期漏洞。

以反序列化扫描为例，规则发现了危险调用，却没有识别出封装方法中的有效保护，这才是需要核查的误报线索。审核时应确认保护是否在对象读取前生效、是否覆盖当前调用路径，而不是只看代码里有没有过滤器。

“只在内部使用”也不足以证明安全。单元测试刻意构造畸形数据、代码只在严格隔离的离线环境运行，可以成为进一步审查的依据，却不应自动获得豁免。

放行要小，证据要全

确认属于误报后，优先采用精确到代码行、对应具体规则的忽略，不要关闭整个扫描。审批记录应说清楚：为什么报错、保护在哪里、适用范围是什么，以及谁负责后续复查。

这样做不是多走流程，而是让下一位维护者看得懂：这处忽略有依据，不是随手贴上的“通行证”。代码调用路径或保护措施变化后，原来的判断也需要重新核对。

紧急降级不能变成永久静音

新规则误伤关键迭代时，可在确认误报并完成审批后，临时将该规则降为警告，而不是整体撤掉门禁。同时建立修正规则的工单，明确负责人、恢复条件和处理期限。

规则修正后，既要检查合法代码是否不再被拦，也要确认危险调用仍能被发现。好的误报处理，不只是让这次提交通过，而是让同类争议下次少发生，同时不把真正的风险一起放过去。