1.
概述与准备工作
- 目标：在加拿大监管与数据主权要求下，评估手机前端与无服务器后端的安全与隐私。- 准备清单：访问权限（cloud console/CLI）、应用二进制（APK/IPA）、测试手机或模拟器、拦截代理（mitmproxy/Charles）、动态分析工具（Frida）、审计工具（OWASP ZAP）、合规文档（PIPEDA/省级法规）。
2.
识别资产与边界
- 步骤：列出手机应用所有后端函数、API Gateway、存储（S3/Blob）、数据库（DynamoDB/Firestore）、第三方服务。- 实操：使用云CLI列出资源：AWS示例：aws lambda list-functions；GCP：gcloud functions list；Azure：az functionapp list。
3.
检查身份与访问管理（IAM）
- 步骤：检索每个函数的执行角色和权限策略，确认最小权限。- 命令示例：AWS：aws iam get-role --role-name
4.
环境变量与密钥管理
- 步骤：列出函数的环境变量，查找明文密钥或API token。- 命令示例：AWS：aws lambda get-function-configuration --function-name
5.
网络与私有化部署
- 步骤：确认函数是否在VPC中以及是否可访问内部数据库；检查公网入口点（API Gateway、HTTP Trigger）。- 操作：为敏感数据路径放置私有子网或VPC Endpoint；在API Gateway启用WAF、IP白名单和速率限制。
6.
传输与存储加密
- 步骤：验证TLS配置（证书链、强制https、最低版本TLS1.2/1.3）。- 手机端实操：在应用中强制使用https并实现证书校验/证书固定（pinning）。云端实操：确保存储开启加密（SSE、Customer-managed keys），示例命令检查S3：aws s3api get-bucket-encryption --bucket
7.
身份验证与会话管理
- 步骤：审查OAuth/OpenID流程、token存储与刷新策略。- 实作细则：在移动端使用安全存储（iOS Keychain / Android Keystore），不要将token放在LocalStorage或日志。后端应支持短期访问token、使用refresh token的安全存储与可撤销机制。
8.
日志、监控与审计
- 步骤：确认CloudWatch/Stackdriver/Azure Monitor记录函数执行、异常、权限失败与访问IP；确保日志不包含PII。- 操作：配置告警（失败率、异常数），把重要日志发送到SIEM，设置保留策略以满足PIPEDA要求。
9.
隐私合规性检查（PIPEDA与省级法规）
- 步骤：列出处理的个人信息类型、数据流向和驻留位置（是否出境）。- 实操：若需在加拿大境内存储，选择加拿大区域（如aws-ca-central-1, canadacentral），在云配置中设置region并记录数据流向文档；执行DPIA（数据保护影响评估）。
10.
移动端渗透测试与动态分析
- 步骤：使用mitmproxy/Charles拦截流量，验证是否存在明文或弱加密；用Frida检测运行时hook以绕过证书pinning。- 实操：在Android上启用adb、安装测试APK；用mitmproxy作为系统代理，观察API调用并尝试重放请求、修改参数，记录发现并制定修复计划。
11.
自动化与CI/CD安全流水线
- 步骤：在CI中加入静态扫描（Snyk、Trivy）、IaC扫描（Terraform/CloudFormation）和依赖审查。- 操作：在部署前运行aws iam access-analyzer、gcloud iam policies lint、az security。禁止在CI日志输出Secrets，使用CI内的Secret Manager集成。
12.
常见弱点与修复清单（优先级）
- 高风险修复：移除明文密钥、实现最小权限、强制TLS、配置WAF与速率限制、移动端密钥安全存储。- 中低风险修复：日志脱敏、启用审计与报警、定期密钥轮换、第三方SDK审计。
13.
评估报告模板与复测步骤
- 报告要点：资产清单、发现的漏洞/隐私风险、风险等级、复现步骤、修复建议、合规结论。- 复测：修复后重新运行相同测试（同命令与流量重放），并记录变更时间点与验证证据。
14.
问：在加拿大部署无服务器后端时，如何确保数据驻留在境内？
- 答：选择加拿大地区的云服务（如AWS Canada Central、Azure Canada Central/Canada East、GCP Montréal），在资源创建时显式指定region，审计所有第三方服务与CDN是否会将数据转移出境；记录并在DPIA里说明。如需严格隔离，使用VPC Endpoints和私有连接。15.
问：移动客户端在开发与测试阶段如何安全地测试API而不泄露密钥？
- 答：使用测试账号与临时token、在测试环境使用Mock或沙盒后端、在CI中用受限权限的测试凭据，避免将生产密钥写入代码或日志，使用Secrets Manager或CI Secret存储并在运行时注入。16.
问：发现无服务器函数使用过宽权限后，应该怎样修复并验证？
- 答：步骤：1) 备份现有策略；2) 根据最小权限原理重写IAM策略（只允许必要动作）；3) 使用模拟工具（aws iam simulate-principal-policy）验证无功能性回归；4) 部署更改并监控错误与拒绝事件；5) 最后由安全与开发双人签核确认。
