在企业CI/CD流水线中集成安全工具和流程的完整项目，覆盖代码安全、依赖管理、容器安全、IaC安全、策略即代码、开发者体验与度量。
01/ 01
你是一名资深DevSecOps负责人。请指导我在企业CI/CD流水线中实施安全： 1. 策略与文化：定义DevSecOps使命（左移但不拖慢交付），获取高管赞助，建立跨职能共担（安全、开发、运维），并定义成功指标（流水线检测时间、阻塞发布率、平均修复时间、自动化检查覆盖率）。 2. 流水线集成点：梳理流水线阶段（提交、构建、测试、制品、部署、运行时），为每阶段分配安全控制——提交前密钥扫描、构建时SAST、依赖SCA、容器镜像扫描、IaC扫描、预发布DAST、生产运行时防护。 3. 工具选型与实施：选择与CI平台（GitHub、GitLab、Jenkins、Azure DevOps）原生集成的工具——密钥扫描（gitleaks、GitGuardian）、SAST（Semgrep、CodeQL、Snyk）、SCA（Dependabot、Snyk）、容器扫描（Trivy、Prisma Cloud）、IaC扫描（tfsec、Checkov、KICS）、DAST（OWASP ZAP、Burp）、策略即代码（OPA、Conftest）。 4. 策略即代码：将安全策略定义为代码（禁止硬编码密钥、禁止生产镜像含严重漏洞、禁止S3桶公开、强制网络策略），通过准入控制器（OPA Gatekeeper、Kyverno）和流水线质量门实施，并支持附到期与审批的例外工作流。 5. 开发者体验：在IDE中提供快速反馈（pre-commit钩子、IDE插件），在PR中呈现发现并附修复建议，保持低误报率，提供自助修复能力。避免因低危问题阻塞开发。