求Angular项目安全检查及OWASP依赖检查的分步执行流程

方式一：使用OWASP Dependency-Check CLI #

• 安装CLI工具：下载对应系统的压缩包并解压，将解压后的bin目录添加到系统环境变量PATH中，验证安装成功：

  dependency-check --version
  

• 执行依赖扫描：进入Angular项目根目录，运行以下命令生成检查报告：

  dependency-check --scan ./ --format HTML --output ./owasp-reports
  

  参数说明：--scan ./指定扫描当前项目目录，--format HTML生成易读的HTML报告，--output ./owasp-reports将报告输出到项目内的owasp-reports文件夹
• 查看报告：打开./owasp-reports/dependency-check-report.html，报告中会标注所有含漏洞的依赖、漏洞风险等级及对应的修复方案（如升级至安全版本）

方式二：使用npm封装包（无需全局安装CLI） #

• 安装项目依赖：在项目根目录运行：

  npm install --save-dev owasp-dependency-check
  

• 添加npm脚本：在package.json的scripts字段中新增：

  "owasp-scan": "owasp-dependency-check --scan ./ --format HTML --output ./owasp-reports"
  

• 启动扫描：执行以下命令触发检查：

  npm run owasp-scan
  

• 查看报告：同CLI方式，打开owasp-reports目录下的HTML报告即可

一、依赖安全补充检查 #

• npm原生漏洞扫描：运行npm audit快速检测依赖漏洞，执行npm audit fix可自动修复多数可升级的漏洞；若需详细报告，可导出为JSON：

  npm audit --json > npm-audit-report.json
  

• Snyk工具扫描：全局安装snyk后，在项目根目录执行snyk test扫描依赖，snyk monitor可开启持续监控，及时发现新出现的漏洞

二、Angular内置安全特性验证 #

• XSS防护检查：确保不随意使用[innerHTML]、[outerHTML]或DomSanitizer.bypassSecurityTrust*方法，除非完全信任内容；启用ESLint规则@angular-eslint/template/no-innerhtml强制约束
• CSRF防护验证：确认HttpClientModule已导入项目，后端正确配置并返回XSRF-TOKEN Cookie，Angular HttpClient会自动携带该令牌完成CSRF验证
• 路由安全检查：敏感路由必须添加CanActivate类守卫验证用户权限；禁止在路由参数中传递密码、Token等敏感数据
• DOM操作规范：避免直接使用原生DOM API（如document.getElementById），优先使用Angular的Renderer2进行DOM操作，确保视图封装机制生效

三、代码层面安全审计 #

• ESLint代码检查：安装@angular-eslint/schematics后，执行ng lint扫描代码中的安全问题（如不安全的DOM操作、未授权路由访问等）
• 敏感信息排查：检查代码中是否存在硬编码的API密钥、密码等敏感信息；使用git-secrets工具扫描Git提交历史，防止敏感信息被提交至仓库
• HTTP请求安全：确保所有API请求使用HTTPS协议；通过HttpClient拦截器统一处理认证令牌，避免在URL或请求头中暴露敏感数据

内容的提问来源于stack exchange，提问作者Pulleparthi Sravan