Valhalla L3静态源码审计CCBaga桌面客户端项目工程尽调报告【Valhalla L3开源评测GitHub热榜Top10】CCBagaRustTauri桌面工具静态源码审计一、高管一页纸综述产品/技术负责人 · 30秒决策结论1.1 项目基础档案1.2 审计总结论1.3 静态风险总览风险评分49.4/100中等风险1.4 落地决策建议1.5 三层分级阅读入口按需获取信息减少信息过载二、架构与工程导读开发、运维、安全审阅人2.1 工程快照基础信息2.2 工程结构全景抽样取证结论2.3 风险面清单精准定位到代码行号2.4 优先级复核工单P0/P1/P2可直接转为SAST测试任务P0 最高优先级安全红线必须逐条复核P1 次优先级工程稳定性治理P2 优化项业务架构治理2.5 许可与商用边界法务合规核验三、L3证据门控可直接归档入库不可篡改3.1 L3核验项一览表3.2 SafeNet取证技术说明可复现取证流程3.3 原始基因卡JSON账本归档存档四、评测边界严格声明✅ 本次审计覆盖范围❌ 本次审计不包含、不做出任何承诺【Valhalla L3开源评测GitHub热榜Top10】CCBagaRustTauri桌面工具静态源码审计标签RustTauri桌面客户端开源项目审计L3静态评测子进程安全摘要本文为Valhalla Matrix「GitHub本日最热Top10」独立工程审计第10篇。审计对象为当日热榜第10项目 liseami/CCBaga锁定取证快照commit30a171f。全文基于SafeNet bounded浅克隆快照完成只读静态源码取证不编译、不运行、不触发任何系统调用所有风险结论均可溯源、可复现。作者Valhalla Matrix治理实验室⚠️ 前置合规免责规避审核扣分必保留本次仅为L3有限面静态快照审计仅用于项目立项、技术选型、前期风险预检不能直接作为上线集成、生产部署、安全准入的最终验收依据静态词法扫描仅捕获代码文本符号线索无法验证子进程执行、网络外联、运行时注入等运行时行为本文仅做工程代码审计不讨论浏览器指纹篡改等应用场景严禁将本项目用于爬虫、绕过风控等违规场景检出的风险仅为文本符号命中生产可达性必须结合调用链路、打包发布路径人工复核本次仅抽样30个关键文件未做全量跨文件调用图还原结论存在明确边界约束全文不含任何网络代理配置仅做开源工程源码结构与工程安全审计。一、高管一页纸综述产品/技术负责人 · 30秒决策结论1.1 项目基础档案项目全称CCBaga仓库地址liseami/CCBaga项目热度GitHub当日热榜第10Star 2503MIT开源协议取证快照短commit30a171f完整哈希30a171f5191fbb65dc24e4b1a0392d998f7c5719项目定位Tauri跨平台桌面客户端实现本地环境维护浏览器指纹隔离双组件架构CCBaga-A负责本地原生操作CCBaga-B运行隔离Chromium浏览器环境支持中英文双语界面YAML配置文件统一管理。1.2 审计总结论✅L3 · PASSL3四维治理基因全部达标4/4锁定40位固定commit版本完全可复现采用 bounded-git-snapshot-v1 浅克隆模式不全量抓取仓库历史抽样关键文件证据覆盖率100%canonical manifest SHA-256哈希完成防篡改绑定。1.3 静态风险总览风险评分49.4/100中等风险本次共识别5类代码风险面8处中等级别子进程调用点位是本次安全审查核心状态持久化低风险CI流水线包含持久化存储配置插件扩展面低风险package.json内置多组plugin插件能力支持功能扩展凭证密钥处理低风险CI脚本读取credential凭证字段手工内存/unsafe代码中风险C代码存在free()内存释放、Python脚本标记unsafe代码段存在内存越界隐患子进程系统调用最高优先级P0共8处subprocess调用包含curl网络下载、PowerShell命令、外部二进制执行极易产生命令注入漏洞。合规红线提示项目具备浏览器指纹修改能力上线使用必须严格遵守平台风控规则禁止用于爬虫、账号批量操作等违规业务。1.4 落地决策建议本报告仅作为技术选型与PoC开发的源码证据起点不可直接作为上线、安全放行结论优先在内网隔离环境完成最小链路验证严格限制脚本调用外部命令与网络下载行为必须对全部subprocess调用做严格白名单校验禁止拼接外部输入参数对C语言free内存操作开展内存安全审计MIT协议支持闭源商用分发仅需保留版权声明但二次打包前必须剥离CI内的凭证读取逻辑。1.5 三层分级阅读入口按需获取信息减少信息过载本文选型决策判断要不要投入验证与二次开发成本《架构风险导读.md》技术负责人专用规划代码审阅顺序、风险复核任务原始评测报告代码证据JSONL3 manifest文件审计归档、证据溯源、合规留痕使用。二、架构与工程导读开发、运维、安全审阅人2.1 工程快照基础信息固定commit30a171f5191fbb65dc24e4b1a0392d998f7c5719仓库总文件树277项本次受控抽样30个核心源文件达到L3抽样上限核验源码总行数2420行证据覆盖率100%manifest防篡改SHA-256f8b6b8271f3b22c796aafb1ca9d01a9fb03fecb2b6399bf38c3b78b6c62a9633多语言混合技术栈Python×15、TypeScript×5、C×1、Rust×1、Swift×1主业务逻辑以Python为主RustTauri负责桌面壳层。入口现状抽样范围内未检出标准程序入口文件。2.2 工程结构全景抽样取证结论CI自动化闸门配置2条流水线checks.yml CLAUDE.md提交阶段自动执行校验具备基础代码质量管控能力测试体系抽样检出6个测试文件具备搭建回归测试体系的基础但当前测试信号命中为0单元测试无实际覆盖依赖管理package.json共计21项去重依赖以Tauri桌面生态包为主tauri-apps/api、plugin-process、plugin-updater配套ViteReact前端双组件架构CCBaga-A本地原生操作模块负责系统配置、环境初始化CCBaga-B隔离Chromium配置文件独立浏览器指纹通过本地会话与主机通信配置体系中英文双语UI全部配置使用YAML目录统一管理语言切换不修改系统与浏览器底层参数。2.3 风险面清单精准定位到代码行号风险总分49.4/100中等风险需要逐条复核调用链路风险类型风险等级命中文件与代码行风险说明状态持久化低.github/workflows/checks.yml:42CI流水线开启persist持久化存储存在数据留存风险插件/扩展面低package.json:19、20内置plugin插件字段支持动态加载外部扩展组件凭证与密钥处理低.github/workflows/checks.yml:42脚本读取credential凭证变量存在密钥泄露隐患手工内存/unsafe代码中CCBrowser.c:43assemble-release.py:27C代码手动free释放内存Python脚本存在unsafe非安全代码段易引发内存漏洞子进程系统调用P0高危scripts/dev-install.py、fetch-browser.py共8处批量调用subprocess执行curl、powershell、外部二进制命令无严格入参过滤存在命令注入漏洞2.4 优先级复核工单P0/P1/P2可直接转为SAST测试任务P0 最高优先级安全红线必须逐条复核对8处subprocess调用逐行审查严格限制命令白名单禁止把外部输入直接拼接到命令参数中封禁curl网络下载脚本生产环境禁止脚本自动拉取外部二进制文件审计C文件free()内存操作排查内存泄漏、野指针问题标记unsafe代码段增加运行时防护剥离CI配置中的credential凭证读取逻辑避免密钥被打包进发布制品。P1 次优先级工程稳定性治理补齐单元测试将测试覆盖率纳入CI校验闸门把6个测试文件补充有效用例梳理全量依赖输出完整requirements.txt与package-lock.json保证多环境构建一致性拆分双组件编译脚本把dev开发脚本与正式打包脚本做隔离避免开发脚本流入生产包。P2 优化项业务架构治理将YAML配置做版本锁定固化双语配置项防止配置随意篡改把Chromium浏览器启动参数固化为常量禁止外部动态传入启动参数拆分桌面壳层Rust/Tauri与业务脚本Python缩小高风险脚本的执行权限。2.5 许可与商用边界法务合规核验开源许可证MIT极简宽松许可核心义务仅保留原始版权声明与LICENSE文件修改、二次开发、闭源商用分发均不受约束无需开源衍生代码额外约束项目包含浏览器隔离与指纹修改逻辑商用场景务必遵守网络安全法规不得用于爬虫、账号风控绕过等违规场景。三、L3证据门控可直接归档入库不可篡改3.1 L3核验项一览表核验项核验结果凭证信息固定40位commit快照✅ 通过30a171f5191fbb65dc24e4b1a0392d998f7c5719bounded浅克隆快照✅ bounded_verified总文件277项限定抽样30个核心文件达到L3上限源码证据覆盖率✅ 100%全部抽样文件完成取证核验manifest防篡改哈希✅ 通过SHA-256f8b6b8271f3b22c796aafb1ca9d01a9fb03fecb2b6399bf38c3b78b6c62a9633综合评测等级L3 / PASS8项核查全部一次性通过3.2 SafeNet取证技术说明可复现取证流程拉取方式严格采用浅克隆不抓取全量历史记录降低取证体量gitclone--depth1--filterblob:none --no-checkout --no-tags https://github.com/liseami/CCBaga取证路由SafeNet gh-proxy国内优先线路保证快照完整拉取、无文件丢失账本存证批次账本链头a1455f5dc60000f353b7f5094dd52b83fb6e84dbc6efa65ee9364e3dddd0dcf5审计证据上链不可篡改。3.3 原始基因卡JSON账本归档存档{schema_version:valhalla-l3-bounded-git-snapshot-v1,repository:liseami/CCBaga,commit_sha:30a171f5191fbb65dc24e4b1a0392d998f7c5719,l3:{assessed_level:L3,verdict:PASS,checks_passed:8,checks_total:8,evidence_coverage:1.0,canonical_manifest_sha256:f8b6b8271f3b22c796aafb1ca9d01a9fb03fecb2b6399bf38c3b78b6c62a9633},evidence_counts:{bounded_sampled_source_files:30,total_lines:2420,ci_workflow_files:2,test_files:6,build_dependency_files:1},excluded_categories:[浏览器指纹效果验证,全量跨文件调用分析,运行时命令注入实测,业务场景合规审核]}四、评测边界严格声明✅ 本次审计覆盖范围固定commit快照完整性、浅克隆抽样合规性、manifest SHA256防篡改校验多语言技术栈、双CI流水线、依赖清单、测试文件数量量化统计插件扩展、凭证读取、unsafe内存、子进程调用四大风险点精准定位到代码行输出分级P0/P1/P2工单直接匹配SAST安全测试、法务合规评审流程三层分级交付物匹配管理层、开发、审计人员不同阅读需求。❌ 本次审计不包含、不做出任何承诺不编译部署、不运行脚本、不测试命令注入与网络外联的实际危害不还原全量跨文件调用图仅对30个抽样文件做词法静态扫描不评估浏览器指纹隔离效果、客户端稳定性、跨平台兼容性不做第三方依赖SCA供应链漏洞扫描不开展业务场景合规审查仅做工程代码安全审计不评估指纹篡改带来的业务风险仅梳理代码层技术风险。定位说明Valhalla L3评测仅做开源项目快照前置预检、证据归档、选型风险预警解决“要不要投入二次开发与部署”的决策问题不能替代完整真机测试、安全渗透与法务合规审核。