震惊！百度安全这一举动让所有Web应用黑客都慌了

声明：本文仅供技术研究与交流，任何未经授权的安全测试行为均违反法律法规，请严格遵守网络安全法规。

重点导读简介

OpenRASP Golang是百度安全开源的运行时应用自我保护（RASP）系统。该项目用Go语言实现，继承了OpenRASP的核心设计理念，为Go生态应用提供运行时安全防护能力。

重点导读核心架构

PART 01架构概览

项目采用模块化设计，主要由以下组件构成：

• V8引擎集成：嵌入JavaScript运行时，支持插件化安全检测逻辑
• 钩子层：对HTTP请求、数据库操作等关键路径进行拦截
• 上下文管理：通过Goroutine Local Storage（GLS）实现请求上下文传递
• 配置管理：支持本地YAML配置和云端配置同步
• 日志系统：分级日志记录，涵盖告警、策略、插件、运行四类日志

PART 02目录结构

openrasp-golang/ ├── cloud/          # 云端管理客户端 ├── common/         # 公共定义与工具 ├── config/         # 配置加载与管理 ├── gls/           # Goroutine本地存储 ├── goid/          # Goroutine ID管理 ├── model/         # 数据模型定义 ├── notify/        # 告警通知模块 ├── orlog/         # 日志格式化 ├── plugin/        # 插件管理 ├── stacktrace/    # 堆栈跟踪 ├── support/       # 框架集成支持 │   ├── orhttp/    # HTTP拦截 │   ├── orbeego/   # Beego框架支持 │   └── orsql/     # SQL数据库拦截 └── utils/         # 工具函数 

重点导读核心技术实现

PART 03V8插件系统

项目集成openrasp-v8模块，通过JavaScript脚本实现安全检测逻辑的热更新。插件管理器负责：

• 加载本地.js插件文件
• 构建V8运行时快照
• 监听插件目录变化自动重载
• 支持云端插件推送更新

PART 04HTTP请求拦截

orhttp包提供HTTP处理器包装功能，核心流程：

1. 初始化GLS上下文
2. 提取请求白名单掩码
3. 构建请求信息对象（URL、Header、Body、客户端IP等）
4. 包装ResponseWriter以支持拦截响应
5. 异常恢复机制确保请求处理

PART 05SQL数据库防护

orsql包实现数据库驱动的装饰模式，支持：

• 连接建立时的DSN策略检查
• SQL执行错误的拦截分析
• MySQL等主流数据库的专门优化
• 连接池层面的安全增强

PART 06上下文传递机制

通过gls包实现Goroutine级别的数据存储，确保：

• 请求上下文在异步操作中正确传递
• 白名单匹配数据可用
• 响应拦截器可访问请求信息

重点导读配置体系

PART 07基础配置

BasicConfig管理云端连接参数：

• 云端开关控制
• 后端服务地址
• 应用凭证
• 心跳间隔

PART 08通用配置

GeneralConfig管理运行时策略：

• 插件超时与堆栈深度
• 日志轮转与限速
• 请求体最大字节数
• 客户端IP来源头
• 拦截响应格式（JSON/XML/HTML）
• 白名单规则
• 调试级别

重点导读云端管理

cloud包实现与云端控制平面的通信：

• 应用注册与心跳保活
• 云端配置实时同步
• 插件更新推送
• 告警日志上报

重点导读安全防护类型

目前项目支持以下检测类型：

• SQL注入异常检测
• SQL注入攻击检测

内置动作策略：Ignore、Log、Block，通过JavaScript插件可灵活配置。

重点导读集成方式

PART 09HTTP拦截集成

goimport openrasp "github.com/baidu-security/openrasp-golang"  raspHandler := orhttp.Wrap(originalHandler) http.ListenAndServe(":8080", raspHandler) 

PART 10数据库集成

goimport _ "github.com/baidu-security/openrasp-golang/support/orsql/mysql"  db, err := orsql.Open("mysql", "user:password@tcp(localhost:3306)/dbname") 

重点导读总结

OpenRASP Golang为Go语言应用提供了企业级的运行时安全防护能力。其插件化架构、云端管理和细粒度拦截机制，使得安全策略的部署和更新无需重启应用。该项目填补了Go生态RASP方案的空白，对于需要强化应用安全的场景具有重要参考价值。

本文介绍的项目开源地址如下：

https://github.com/baidu-security/openrasp-golang 

本公众号非项目作者，仅做技术分享。