dsh-industry-finance

支付和金融项目里，真正让人后怕的往往不是某个功能 bug，而是代码里悄悄留下了不该留的数据：CVN 被写进表结构、口令以明文列存在、日志里整张卡号直出、交易只保留几年、客户端本地存了完整卡信息、还在用明文通道，或者测试配置误连生产。这些问题在开发阶段往往「跑得通、好排查」，等到监管或事故复盘时才要用极高代价去解释。

dsh-industry-finance 是一个面向金融场景的静态线索检查器。它依据 rules/ 下的七条判据，在源码与配置里挑出可疑的字段命名、DDL、日志与模板插值、留存时长、传输方式以及环境隔离等线索，并附上对应条款出处，供你逐项确认。它不做数据流分析、不读库内真实数据、也不替代码改错——命中意味着「值得去看一眼」，零命中只表示没扫到静态线索，不等于合规通过。

高风险规则会在项目缺少支付、卡或客户端相关代码时自动标记为不适用，并在报告中说明未运行的条数；同时对 card_token、已脱敏模板、哈希口令列、内网与 localhost 等边界写法做了降噪，减少空忙一场。若你已在用通用敏感数据或留存类插件，本插件补的是支付 C3 与反洗钱「十年留存」、传输与环境隔离这条金融专线，与 PCI 式扫描不是同一套口径。

适合支付、银行、消费金融、钱包与清算相关团队的开发、架构与安全同行，在上线前、大改后或专项自查时做第一轮代码侧筛查；需要正式审计、制度流程核查或加密强度评估时，应配合专业审计与其它 DSH 专项插件使用。