编辑“︁JavaScript安全审计”︁（章节）

== JavaScript安全审计流程 ==
完整的审计流程通常包括以下步骤：
<mermaid>
graph TD
    A[代码收集] --> B[静态分析]
    B --> C[动态测试]
    C --> D[手动审查]
    D --> E[报告生成]
    E --> F[修复验证]
</mermaid>

=== 1. 静态代码分析 ===
使用工具自动扫描代码中的潜在问题。常用工具包括：
* ESLint（配合安全插件如<code>eslint-plugin-security</code>）
* NodeJsScan（针对Node.js应用）

=== 2. 动态测试 ===
在运行时测试应用的安全性，例如：
* 使用OWASP ZAP或Burp Suite进行渗透测试
* 检查HTTP头安全性（如CSP、HSTS）

=== 3. 手动代码审查 ===
重点关注：
* 敏感数据处理（如密码、令牌）
* 权限控制逻辑
* 加密实现（避免使用<code>Math.random()</code>等弱随机数）