2025-8-22安全sig例会

与会人：陈启军 蒋宏博 明沛

会议议题：

1、openGauss版本安全目标讨论（明沛）

2、社区安全设计指南、设计文档模板、安全设计checklist评审（蒋宏博）

会议结论：

议题1、openGauss版本安全目标讨论：

同意当前目标设定及版本每个阶段的安全质量要求，后续通过RM SIG运作落地，在openGauss 7.0.0 RC2版本开始执行

遗留问题：

1）开源第三方软件引入需要制定checklist（java引入规则需要继续明确，具体执行上是漏洞感知工具优化还是手工执行扫描识别漏洞，根据实际讨论结果再明确），评审通过后将相关动作要求与评审原则增加到现有的开发流程总纲当中：https://gitee.com/opengauss/release-management/blob/master/openGauss社区化开发流程规范.md。源码仓部署SCA门禁进行license合规扫描确保法务合规；（宋世轩/李锦波）

2）后续需求规划环节，版本SE和安全SIG要一起识别安全相关的需求列表，打安全标签，共同确定安全设计文档列表（可承载在特性设计说明书中），安全设计上安全SIG评审；(彭炯)

3）现有特性设计说明书模板（https://gitee.com/opengauss/community/blob/master/design/template/openGauss xx%E7%89%B9%E6%80%A7%E8%AE%BE%E8%AE%A1%E8%AF%B4%E6%98%8E%E4%B9%A6.md），需要针对安全章节进行刷新，对比当前的设计checklist以及特性代码提交阶段check-in的checklist（https://gitee.com/opengauss/community/blob/master/check-in/template/openGauss SQL%E5%85%BC%E5%AE%B9%E6%80%A7%E9%9C%80%E6%B1%82%E9%AA%8C%E6%94%B6checkin%E6%A8%A1%E6%9D%BF.md，https://gitee.com/opengauss/community/blob/master/check-in/template/openGauss-server仓需求验收check-in模板.md），哪些放在设计阶段、哪些放在check-in阶段要根据实际情况做判断；需要补充资源池化相关的补充提交到对应目录（宋世轩）；工具的也提交到对应目录（申正）。

4）版本出口要求修改：遗留DI<=10(严重/主要 3、次要 1、无优先级/不重要 0.1)，CVSS大于7分漏洞原则上不允许遗留，例外需要上安全SIG评审，对应刷新文档：Test_Check/openGauss版本发布测试项.md · openGauss/QA - Gitee.com

5）漏洞修复流程，在版本出口时审视7分以上漏洞原则上不允许遗留，例外要上安全SIG评审拿结论。开源第三方库的漏洞修复依赖上游社区，第三方库漏洞责任人划分需要讨论（申正）。

议题2、社区安全设计指南、设计文档模板、安全设计checklist评审：

1）明确社区安全设计指南定位，用于给社区开发者提供基本安全设计指导，并非强制约束，后续根据实际情况进行刷新（新增或删减）；去除社区安全设计指南（第八章隐私保护，openGauss不涉及采集用户隐私数据的行为），并审视指南中“必须”、“禁止”等在社区是否合理。

https://gitcode.com/opengauss/security/blob/master/guide/SecurityDesign.md

2）刷新社区安全设计文档安全设计章节，将第七章安全设计移至4.6.7 章节，并删除威胁建模分析相关内容，添加安全设计checklist。

https://gitcode.com/opengauss/community/blob/master/design/template/openGauss%20xx%E7%89%B9%E6%80%A7%E8%AE%BE%E8%AE%A1%E8%AF%B4%E6%98%8E%E4%B9%A6.md

3）社区新增安全checklist（划分为安全设计checklist和代码检视安全checklist）

https://gitee.com/opengauss/releasemanagement/blob/master/openGauss%E8%AE%BE%E8%AE%A1CheckList.xlsx