接過政府案的工程師應該都收過這封信：

「貴公司開發之系統依規定須通過資安掃描，請於 OO 月 OO 日前完成黑箱、白箱掃描，並出具掃描報告與修補對照表，所有中級以上警告須完成排除，否則無法上線。」

第一次看到的人，大概會經歷三個情緒階段：「沒問題吧反正掃一下」→「等等怎麼這麼多警告」→「我幹嘛接這個案子」。

這篇要把我們做過多個政府案資安掃描的實戰經驗整理出來，包括：要準備什麼工具、常見哪些坑、怎麼排除中級以上警告、Nginx header 要改什麼。不是教材，是「我下次接到政府案要怎麼快速搞定」的 cheatsheet。

先講「黑箱」跟「白箱」是什麼

這兩個詞在資安掃描的脈絡裡有明確分工：

白箱 (White-box)：看得到原始碼的靜態掃描。最常見的工具是 SonarQube。整份程式碼 import 進去，會跑出「SQL injection 風險、敏感資訊硬編碼、未加密的 password handling、過時的加密演算法⋯⋯」這類 warnings。
黑箱 (Black-box)：不看程式碼，只看部署上線的網站。最常見的工具是 OpenVAS / GVM 跟 OWASP ZAP / Burp Suite。會模擬實際駭客的滲透行為：嘗試各種 SQL injection payload、跨站腳本 (XSS)、目錄列舉、SSL/TLS 版本檢查、HTTP header 漏洞等等。

簡單說：白箱看你程式碼怎麼寫，黑箱看你系統部署是不是有洞。兩者互補，缺一不可 — 因為某些洞只有看 source code 才會發現（如硬編碼的 API key），某些洞只有部署上去才看得到（如 Nginx 反代設定錯誤暴露 backend）。

白箱：SonarQube 的常見地雷

SonarQube 掃出來的 warnings 分 Bug / Vulnerability / Code Smell / Security Hotspot 四類。政府案通常要求：

Bug / Vulnerability：High 與 Blocker 等級必須清光，Medium 視承辦人嚴格程度
Security Hotspot：每個都要 review 與註記為「已確認安全」或修復

10 個我們最常踩的雷

硬編碼密碼或 API key — 開發過程中為了測試直接寫在 code 裡，忘了清。修法：全部移到 .env，加 .gitignore。
SQL injection 風險（即使用了 ORM） — Laravel 的 raw query、whereRaw、DB::select() 帶字串拼接會被抓出來。修法：改用參數化 placeholder。
XSS — 直接 echo $_GET 或 PHP 模板沒 escape 的變數。Laravel 用 {{ }} 自動 escape 就好，不要用 {!! !!}。
過時加密演算法 — MD5、SHA1 用在密碼或 token 會被抓。改用 bcrypt（密碼）或 SHA-256+（其他用途）。
Path traversal — 接受用戶輸入後直接 require / include 檔案。修法：白名單檢查、basename() 過濾。
File upload 沒驗證 MIME — 接受 POST 檔案直接存伺服器。修法：MIME 白名單 + 副檔名雙重檢查 + 重新命名隨機檔名。
Session fixation — 登入後沒 regenerate session ID。修法：session()->regenerate() in Laravel。
CSRF 沒擋 — POST API 沒帶 token。Laravel 內建中介層，要記得在 form 加 @csrf。
Sensitive data in log — error log 把整個 request body 印出來，含密碼。修法：實作 log scrubber，把 password / token / api_key 欄位 mask 掉。
DEBUG=true 上 production — Laravel 預設 .env 範本 APP_DEBUG=true，上線忘了改。修法：deploy 腳本加 sanity check。

這 10 個地雷如果你在開發階段就用 IDE plugin（SonarLint）跑，上線時資安掃描的 warning 通常會少 70%。所以我們的 SOP 是「開發前先裝 SonarLint」— 而不是上線前一週才掃。

黑箱：OpenVAS / GVM 與 OWASP ZAP

黑箱掃描分兩種：

基礎設施掃描 (OpenVAS / GVM)：掃伺服器 OS、開放 port、SSL 版本、HTTP header、known CVE。會跑很久（一個 site 4-8 小時），通常要求週末跑。
Web 應用滲透測試 (OWASP ZAP / Burp)：對網站做爬蟲 + 自動 payload 攻擊測試 SQL injection、XSS、CSRF、open redirect 等。需要登入後的 session token，否則掃不到後台。

Nginx Header 必補的 6 條

黑箱掃描最容易被抓的就是 HTTP header。下面這 6 條是「政府案標配」，我們會在 Nginx 站台設定裡直接加：

# 強制 HTTPS（含 1 年 + 子網域）
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

# 防 XSS 注入
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-XSS-Protection "1; mode=block" always;

# CSP 限制資源來源（要根據你的 app 調整）
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; connect-src 'self' https:; font-src 'self' data:;" always;

# 限制 referrer 洩漏
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

# 移除 server 版本資訊（被掃出來會扣分）
server_tokens off;
more_clear_headers Server;
more_clear_headers X-Powered-By;

CSP 那條是最容易踩雷的 — 第一次設一定會破 frontend（圖片載不到、CDN script 不能跑）。建議的做法是先設 Content-Security-Policy-Report-Only 蒐集 violation log 一週，調整完再正式啟用。

SSL/TLS 設定

OpenVAS 掃 SSL 配置會關注：

禁用 TLS 1.0 / 1.1（只保留 1.2 / 1.3）
禁用弱 cipher suites（RC4、DES、3DES、MD5 等）
啟用 HSTS preload
OCSP Stapling 開啟

實務上我們的 nginx ssl 設定通常會抄 Mozilla SSL Configuration Generator 的「Intermediate」配置直接貼，省時間又通過率高。

報告交付：政府承辦人要看什麼

掃描完不是把 SonarQube / OpenVAS 的 PDF 報告直接丟給承辦人，他看不懂也不會看。實務上要交三份文件：

掃描報告原檔：SonarQube 跟 OpenVAS 的完整 PDF / HTML 輸出。承辦人不會細看，但會收檔備查。
中級以上警告對照表：Excel 格式，每筆警告一行，欄位包含「警告類型 / 嚴重程度 / 位置 / 修復狀態 / 修復方式說明」。這份是承辦人會逐筆看的。
複測結果報告：把對照表的「修復後」狀態再掃一次，證明已經清掉。

我們的範本長這樣（簡化版）：

| 編號 | 警告類型             | 嚴重程度 | 檔案/位置              | 修復狀態 | 修復方式                          |
|------|---------------------|----------|-----------------------|----------|-----------------------------------|
| 1    | Missing HSTS header | Medium   | Nginx /etc/nginx/conf | ✅已修復 | 加 Strict-Transport-Security      |
| 2    | SQL injection 風險  | High     | OrderController:142   | ✅已修復 | 改用 parameterized query          |
| 3    | Outdated jQuery 1.x | High     | public/js/legacy.js   | ✅已修復 | 升級到 jQuery 3.7                 |
| ...  | ...                 | ...      | ...                   | ...      | ...                               |

常見地雷 + 解法

「我們用了第三方套件，套件本身有警告怎麼辦？」

這是最頭痛的 — 你用了某個 library，它本身被 SonarQube 抓出問題（如 jQuery 1.x、過舊的 PHP 套件、有 known CVE 的 npm 套件）。處理方式：

盡可能升級到無警告版本
升級會破相容性的，提供「補丁說明」+「為什麼無法升級」+「補救機制」（如 input validation 加倍嚴）
極少數情況可申請「例外條款」（exception waiver），但要承辦人同意

「上線前夕才掃 → 修不完」

這是新手最常踩的坑。資安掃描通常需要 2-3 個工作天跑完，警告修復 + 複測再 1-2 週。如果你開發完才開始掃，一定會 delay 上線。

我們的 SOP：

開發階段：所有工程師 IDE 裝 SonarLint，即時抓
提交合併前：CI 跑 SonarQube，high / blocker 一律退件
Sprint 結束前：跑一次本機 OWASP ZAP 自動掃
上線 1 個月前：正式黑箱掃 + 修復
上線 2 週前：複測 + 報告交付

「政府承辦人要求的工具版本不一」

有些案子指定要 SonarQube Community Edition、有些要 Developer Edition、有些要對方提供的虛擬機跑 OpenVAS。接案時就要問清楚規格，否則開發完發現版本不對要重掃。

其他資安要求

除了黑/白箱掃描，政府案還常見這些要求：

個資保護

敏感欄位（身分證、信用卡、健保卡）資料庫加密儲存 (AES-256)
傳輸層 TLS 1.2+
Log 中個資 mask（前 3 後 4 顯示）
資料刪除流程：用戶申請刪除 30 天內處理完

存取控制

Multi-Factor Authentication（至少對 admin role）
Session timeout（一般 15-30 分鐘）
Password policy（最少 8 字元、含大小寫 + 數字 + 符號、90 天強制更換）
錯誤登入 5 次鎖帳號 30 分鐘

Audit log

所有重要操作（CRUD、登入、權限變更）必須有 log
Log 保留至少 6 個月
Log 內容包含：who / when / what / from where
Log 不可被應用層使用者刪除（系統級保護）

結論：政府案 ≠ 麻煩，是練功

接政府案最磨人的不是技術，是流程跟文件。但反過來說：

過完一次政府案的資安掃描，你對 OWASP Top 10 的理解會比讀文件多 10 倍。
做的所有強化（HSTS、CSP、bcrypt、log scrubber）對你接其他案子也是直接加分項。
有政府案的資安通過記錄，接民間案子的議價空間直接 +30%（企業客戶愛這個）。

如果你正在準備接第一個政府案、不知道怎麼下手，第一次免費聊 1-2 小時，我們可以分享：

你的 stack 大概會踩哪些雷
資安掃描工具的選擇
報價怎麼算才不會虧
跟政府承辦人溝通的眉角

聊完不合作不收費。

延伸閱讀

OWASP Top 10 — 每年更新的 Web 應用程式十大漏洞清單
Mozilla SSL Configuration Generator — 一鍵生成 Nginx SSL 設定
PortSwigger Web Security Academy — 免費的 Web 滲透測試教材