基础设施即代码（IaC）安全：用 Checkov 扫描 Terraform 模板

系列导读

你现在看到的是《从零到一：DevSecOps 安全流水线建设实战指南》的第4/10篇，当前这篇会重点解决：让基础设施代码同样接受安全审查，从源头减少云环境配置错误。

上一篇回顾：第 3 篇《构建阶段安全加固：依赖扫描与容器镜像安全扫描的自动化实践》主要聚焦 教会读者在构建阶段构建双重保险，防止带病产物流入后续环节。 下一篇预告：第 5 篇《动态安全测试：在 K8s 测试环境中自动执行 DAST 扫描》会继续展开 让读者学会在真实运行环境中自动执行动态安全测试，发现运行时漏洞。

全系列安排

1. 为什么你的 CI/CD 流水线需要安全左移？——DevSecOps 理念与落地路径
2. 代码提交即安全：搭建基于 GitLab CI 的 SAST 扫描流水线
3. 构建阶段安全加固：依赖扫描与容器镜像安全扫描的自动化实践
4. 基础设施即代码（IaC）安全：用 Checkov 扫描 Terraform 模板（本文）
5. 动态安全测试：在 K8s 测试环境中自动执行 DAST 扫描
6. 软件供应链安全：SBOM 生成与可信镜像签名实践
7. 流水线中的密钥管理：从硬编码到 Vault 动态凭据
8. 安全门禁与质量红线：用 OPA 实现策略即代码
9. 攻防视角：在流水线中引入自动化安全攻防演练（安全混沌工程）
10. 从流水线到安全运营：DevSecOps 度量与持续改进

在上一篇文章中，我们完成了构建阶段的双重保险：依赖扫描与容器镜像安全扫描，确保了“带病产物”不会轻易流入制品库