SonarQube Security Hotspots 逐條審查報告（CM-890）

日期：2026-07-25
Server：http://192.168.50.171:9000（SonarQube Community Build 26.7.0.124771）
專案：guidant-ai-backend（最後分析 2026-07-25T03:27Z）、guidant-ai-fe（2026-07-25T03:31Z）
背景：07-24 第一棒拉 hotspots 時 token 回 Insufficient privileges，本次補審——這是掃描入 CI/CD 前唯一未看過的安全面盲區。

1. 結論摘要

項目	guidant-ai-backend	guidant-ai-fe
Security Hotspots（TO_REVIEW）	0	0
Security Hotspots（REVIEWED）	0	0
`security_hotspots` metric	0	0
等價審查面：SECURITY-impact open issues	7	0

權限已通：本次 token 呼叫 api/hotspots/search 正常回應（07-24 的 Insufficient privileges 已不復現，推測為權限已補或新 server 預設權限不同），無需雷門再補權限。
hotspots = 0 是結構性為零，不是漏掃（判定依據見 §2）。
等價審查面（SECURITY-impact issues）BE 7 條逐條判定：7/7 安全無虞或已有既存追蹤，無新風險、無需開新 case（見 §3）。
標 SAFE 數 = 0（沒有 hotspot 可標；api/hotspots/change_status 本次未使用）。待裁決清單：無。

2. 為何兩專案 hotspots 都是 0（驗證過程）

逐層排除「假 0」的可能：

權限：api/hotspots/search?project=guidant-ai-backend 回 200、paging.total=0（非 Insufficient privileges）。
有掃到：兩專案 api/project_analyses/search 皆有 2026-07-25 的分析紀錄；ncloc BE 90,383 / FE 84,696。
規則面（root cause）：
- py/js/ts 三個 quality profile 內 active 的 SECURITY_HOTSPOT 規則數 = 0（py profile 全部 active 規則 362 條，type facet：CODE_SMELL 232 / BUG 112 / VULNERABILITY 62 / SECURITY_HOTSPOT 0）。
- 全 server SECURITY_HOTSPOT 規則僅 2 條（cs=1、vbnet=1），與本案兩專案語言無關。
- 抽查傳統 hotspot 規則現況：python:S1313（硬編碼 IP）→ CODE_SMELL / SECURITY:LOW；python:S5332（http 明文）→ VULNERABILITY / SECURITY:LOW；python:S2245（偽隨機）→ VULNERABILITY / SECURITY:MEDIUM；python:S4830（憑證驗證停用）→ VULNERABILITY / SECURITY:HIGH。
結論：SonarQube 2025.x Community Build（26.7）採 MQR（Multi-Quality Rule）模式，已把絕大多數傳統 Security Hotspot 規則重分類為帶 SECURITY impact 的一般 issue。因此「hotspot 待審清單」在這個版本上天然為空，原本會落在 hotspots 的項目全數改走 issues 流——而 issues 流我們在 07-24/07-25 兩輪已全數審過（見 2026-07-25-rescan-medium-analysis.md §5）。
CI Quality Gate 影響：security_hotspots=0 ⇒ 「hotspots reviewed 比例」條件恆為滿足（無存量可滾），接 CI 不會因 hotspots 打紅 gate。安全面守門實際落在 SECURITY-impact issues / VULNERABILITY 條件上。

3. 等價審查面逐條判定（SECURITY-impact open issues）

Hotspot 清單為空，故將「本應是 hotspot」的 SECURITY-impact open issues 逐條讀程式碼現場判定，補齊人工審查盲區。

guidant-ai-backend（7 條）

#	規則	位置	內容	判定
1	S1313（MINOR/LOW）	`config/config.py:9`	`AWD_DEFAULT_URL = "https://192.168.50.189/"` dev 預設 URL 硬編碼內網 IP	安全無虞（風險接受）。dev config 內網預設值，與 §5 既有結論「dev config 風險接受」同型；且屬 https。camunda/內網 IP 硬編碼已有既存 case 追蹤，不重複開。
2	S1313（MINOR/LOW）	`scripts/backfill_2026-06-17_inject_job_execution_uid.py:32`	一次性 backfill script 連 dev DB（192.168.50.188:25432）	安全無虞。非產品程式碼、僅本機執行的一次性維運腳本；密碼取自 `.env` 未硬編碼。
3	S1313（MINOR/LOW）	`scripts/gen_e2e_excel_asia_airlines.py:150`	測試資料假 IP `10.10.20.5`	安全無虞（誤報）。E2E 測試 fixture 的虛構資產清冊資料。
4	S1313（MINOR/LOW）	`scripts/gen_e2e_excel_asia_airlines.py:151`	測試資料假 IP `10.10.30.10`	同上，安全無虞（誤報）。
5	S1313（MINOR/LOW）	`scripts/gen_e2e_excel_asia_airlines.py:152`	測試資料假 IP `10.10.40.20`	同上，安全無虞（誤報）。
6	S6890（CRITICAL/LOW）	`app/report/common/common_utils.py:4`	`import pytz`（建議改用 zoneinfo）	非安全風險（現代化建議）。pytz 時區處理在 Python 3.9+ 建議改 stdlib `zoneinfo`，屬 refactor backlog，非漏洞；不在本任務（不改產品碼）範圍。
7	S6890（CRITICAL/LOW）	`common/util/common_util.py:10`	`import pytz`	同上，非安全風險（現代化建議）。

guidant-ai-fe（0 條）

SECURITY-impact open issues = 0，無需審查。（FE 既有 VULN 8 條已於 §5 前輪全數判誤報並處理。）

4. 統計

Hotspots 總數：BE 0 + FE 0 = 0（TO_REVIEW 0 / REVIEWED 0）
標 SAFE：0（無標的）
等價審查面判定：BE 7 條 → 安全無虞/風險接受 5、誤報型 5（含重疊）、現代化建議 2；真風險 0、開新 case 0、待裁決 0
FE：0 條

5. 後續建議（不在本任務執行）

S6890 pytz → zoneinfo：兩處 import 屬技術債，建議併入未來 refactor batch（非資安急件）。
CI Quality Gate 設計：hotspots reviewed 條件在此版本形同虛設，gate 條件應以 new_violations / SECURITY impact 為主。
若日後 Sonar 升級或加裝 plugin 使 hotspot 規則回歸，需重跑本審查流程。

審查方式：SonarQube Web API（hotspots/search、measures/component、rules/search、issues/search）+ 逐條讀取對應程式碼現場。API 回應均落檔 /private/tmp 後以 jq 解析。含 token 之暫存檔已清除。