代码审计标准
1. 漏洞分类：对代码中的漏洞进行分类，如SQL注入、代码注入、XSS跨站脚本攻击等。
2. 漏洞评级：根据漏洞的危害程度，将其评定为低、中、高或严重等级，并提出相应的修复建议。
3. 漏洞排查：针对代码中可疑的部分，进行深入分析和排查，寻找潜在的安全漏洞。
4. 安全防护：对漏洞进行分类和分级，同时提供相应的修复方案和建议措施，以提高代码的安全性和防护能力。
5. 安全规范：制定具有规范性的安全编码规范和操作手册，为开发人员提供有针对性的指引和培训，增强其安全意识和开发能力。
6. 安全测试：在代码开发和上线之前，进行全面的安全测试和漏洞扫描，保证代码质量和系统安全。
7. 安全审计: 审计代码时，需要对代码注释、文档和其他辅助信息进行全面的审查，确保代码符合安全规范和标准，不存在安全漏洞。
代码审查报告
xxxx公司 版本信息
文档标识： 当前版本：
当前状态： 草稿 发布日期： 发布
修改历史
日期 版本 作者 修改内容 评审号 变更控制号
评审对象 审查员
项目名称 审查日期
分类 重要性 检查项 备注
命名
重要 命名规则是否与所采用的规范保持一致？ 成员变量，方法参数等需要使用首字母小写，
其余单词首字母大写的命名方式，
禁止使用下划线(_)数字等方式命名
不要出现局部变量，成员变量大写字母开头等问题
一般 是否遵循了最小长度最多信息原则？ 各种命名尽可能短，表意准确，除2代替‘to’，
4代替‘for’外，不建议使用数字在命名中
重要 has/can/is前缀的函数是否返回布尔型？ 成员变量，方法参数，局部变量等为布尔型时，
如果出现has/can/is开头，则将这些词去掉
重要 类名是否存在重名问题？ 自己实现的类尽量不要和别人的类重名，
尽管不在同一个包下，特别是子类和父类重名的情况
注释
重要 注释是否较清晰且必要？ 方法JAVADOC注释中需要说明各参数、返回值 及异常说明，参数说明需按照参数名称及用意对应标注
重要 复杂的分支流程是否已经被注释？
一般 距离较远的}是否已经被注释？
重要 函数是否已经有文档注释？（功能、输入、返回及其他可选） 文件，类（含接口，枚举等），成员变量，
方法前需要有JAVADOC的注释
一般 特殊用法是否被注释？
声明、空白、缩
进
一般 每行是否只声明了一个变量？（特别是那些可能出错的类型）
重要 变量是否已经在定义的同时初始化？
重要 类属性是否都执行了初始化？
一般 代码段落是否被合适地以空行分隔？
代码审查报告
xxxx公司 版本信息
文档标识：
当前版本：
当前状态： 草稿
发布日期：
发布
修改历史
日期 版本 作者 修改内容 评审号 变更控制号
评审对象
审查员
项目名
审查日期 称
分类 重要性 检查项 备注
命名
重要 命名规则是否与所采用的规范保持一致？ 成员变量，方法参数等需要使用首字母小写，
其余单词首字母大写的命名方式，
禁止使用下划线(_)数字等方式命名
不要出现局部变量，成员变量大写字母开头等问题
一般 是否遵循了最小长度最多信息原则？ 各种命名尽可能短，表意准确，除2代替‘to’，
4代替‘for’外，不建议使用数字在命名中
重要 has/can/is前缀的函数是否返回布尔型？ 成员变量，方法参数，局部变量等为布尔型时，
如果出现has/can/is开头，则将这些词去掉
重要 类名是否存在重名问题？ 自己实现的类尽量不要和别人的类重名，
尽管不在同一个包下，特别是子类和父类重名的情况
注释
重要 注释是否较清晰且必要？ 方法JAVADOC注释中需要说明各参数、返回值
及异常说明，参数说明需按照参数名称及用意对应标注 重要 复杂的分支流程是否已经被注释？
一般 距离较远的}是否已经被注释？
重要 函数是否已经有文档注释？（功能、输入、返回及其他可选） 文件，类（含接口，枚举等），成员变量，
方法前需要有JAVADOC的注释
一般 特殊用法是否被注释？
声明、空白、缩 进
一般 每行是否只声明了一个变量？（特别是那些可能出错的类型）
重要 变量是否已经在定义的同时初始化？
重要 类属性是否都执行了初始化？
一般 代码段落是否被合适地以空行分隔？
一般 是否合理地使用了空格使程序更清晰？ 基本代码格式中的空格符不可缺少，
这些空格出现在,:,+,-,*,/,=,==,>,<,>=,<=,!=,
及各种括号附近
附件8
四川省组织机构代码、商品条码行政处罚裁量标准
序号 违法行为 处罚依据 适用情形 自由裁量标准 备注
1 系统成员将其厂商识别代码和相应的商品条码转让他人使用的 1、《商品条码管理办法》第二十条：系统成员不得将其厂商识别代码和相应的商品条码转让他人使用。
《商品条码管理办法》第三十四条：系统成员转让厂商识别代码和相应条码的，责令其改正，没收违法所得，处以3000元罚款。
2、《四川省商品条码管理办法》第二十二条：系统成员对其注册的厂商识别代码和相应的商品条码享有专用权，不得转让、许可他人使用。
《四川省商品条码管理办法》第三十五条：违反本办法第二十一条、第二十二条第一款和第二十五条规定的，由县级以上质量技术监督行政部门依照国家《商品条码管理办法》第三十四条至第三十六条规定予以处罚。 无自由裁量。 没收违法所得，处3000元罚款。
2 未经核准注册使用厂商识别代码和相应条码的 1、《商品条码管理办法》第二十一条第一款：任何单位和个人未经核准注册不得使用厂商识别代码和相应的条码。
《商品条码管理办法》第三十五条：未经核准注册使用厂商识别代码和相应商品条码的，在商品包装上使用其他条码冒充商品条码或伪造商品条码的，或者使用已经注销的厂商识别代码和相应商品条码的，责令其改正，处以30000元以下罚款。
2、《四川省商品条码管理办法》第二十一条：任何单位和个违法使用商品条码的商品种类两种以内的。 处以10000元以下的罚款。
违法使用商品条码的商品种类两种以上五种以内的。 处以10000元以上20000元以下的罚款
违法使用商品条码的商品种类五种以上的； 处以20000元以上30000元以下的罚款。 人不得有下列行为：
（一）使用未经核准注册的厂商识别代码和相应商品条码。
《四川省商品条码管理办法》第三十五条：违反本办法第二十一条、第二十二条第一款和第二十五条规定的，由县级以上质量技术监督行政部门依照国家《商品条码管理办法》第三十四条至第三十六条规定予以处罚。
源代码安全审计是依据CVE(Common Vulnerabilities & Exposures)公共漏洞字典表、OWASP十大Web漏洞（Open Web Application Security Project）2013，以及设备、软件厂商公布的漏洞库，结合专业源代码扫描工具对各种程序语言编写的源代码进行安全审计。能够为客户提供包括安全编码规范咨询、源代码安全现状测评、定位源代码中存在的安全漏洞、分析漏洞风险、给出修改建议等一系列服务。
服务背景
信息安全问题时刻都有新的变化，新的攻击方法层出不穷，黑客攻击的方向越来越侧重于利用软件本身的安全漏洞，例如SQL注入漏洞、跨站脚本漏洞、CSRF漏洞等，这些漏洞主要由不良的软件架构和不安全的编码产生。
开展源代码安全审计能够降低源代码出现的安全漏洞，构建安全的代码，提高源代码的可靠性，提高应用系统自身安全防护能力。源代码安全审计能够帮助开发人员提高源代码的质量，从底层保障应用系统本身的安全，从早期降低应用系统的开发成本。
服务内容
1.安全编码规范及规则咨询
在软件编码之前，利用测评中心丰富的安全测试经验，为系统开发人员提供安全编码规范、规则的咨询和建议，提前避免不安全的编码方式，提高源代码自身的安全性。
2.源代码安全现状测评
针对系统开发过程中的编码阶段、测试阶段、交付验收阶段、对各阶段系统源代码进行安全审计检测，利用数据流分析引擎、语义分析引擎、控制流分析引擎等技术，采用专业的源代码安全审计工具对源代码安全问题进行分析和检测并验证，从而对源代码安全漏洞进行定级，给出安全漏洞分析报告等，帮助软件开发的管理人员统计和分析当前阶段软件安全的风险、趋势，跟踪和定位软件安全漏洞，提供软件安全质量方面的真实状态信息。
3.源代码整改咨询
依据源代码安全测评结果，对源代码安全漏洞进行人工审计，并依据安全漏洞问题给出相应修改建议，协助系统开发人员对源代码进行修改。
