要构建前端静态属性访问审计流水线，需在CI中结合TypeScript类型系统、AST分析与自定义ESLint规则，实现对user.name等访问行为的提前识别与约束，确保每次访问可验证、可追溯、有契约依据。
要构建一套涵盖属性访问行为自动化审计的前端静态流水线，核心在于：把“谁在什么时候、以什么方式访问了哪些对象属性”这类运行时行为，提前在代码静态阶段识别并约束，而不是等运行时靠调试或监控去发现。这不是常规的 ESLint 规则能完全覆盖的（比如 obj.foo 是否合法，取决于 obj 类型和上下文），需要结合类型系统、AST 分析与定制规则。
以下分三步落地，不依赖运行时注入，全部在 CI 流水线中静态完成：
属性访问行为审计的关键定位
属性访问（如 user.name、config?.apiUrl、data[0]?.id）是前端高频操作，但也是安全隐患与维护风险高发区：
- 访问未定义属性导致
undefined隐式传播，引发后续报错或渲染异常 - 可选链（
?.）或空值合并（??）被滥用，掩盖真实数据结构缺陷 - 对第三方库对象（如
axios.response.data）做无类型假设，造成类型漂移 - 模板中直接访问深层嵌套属性（
v-if="item.user.profile.avatar"），缺乏存在性断言
静态审计的目标不是禁止访问，而是让每次访问都可验证、可追溯、有契约依据。
立即学习“前端免费学习笔记（深入）”；
在 TypeScript + ESLint 流水线中嵌入属性访问审计
前提是项目已启用 TypeScript（必须），否则无法推导属性存在性。关键组合：
HISUI 前端框架基础开发指南。HISUI 是基于 easyui 二次开发的 jQuery UI 组件库，专为医疗信息系统设计。当涉及 HISUI 组件开发、jQuery easyui 表格/表单/布局/窗口、医疗系统前端页面编写时使用此 skill。 涵盖 40 个组件的官方文档参考，支持声明式与编程式两种初始化方式，提供 $cm/$m 数据访问方法。
TypeScript 的
strictPropertyAccess编译选项开启
强制所有属性访问前需确认存在（对any或unknown类型尤其有效），编译失败即阻断流水线。ESLint 插件
@typescript-eslint/dot-notation+ 自定义规则
禁止用方括号访问字面量属性（如obj['name']），除非明确用于动态键；统一使用点号提升可分析性。-
自定义 ESLint 规则（推荐用
@typescript-eslint/experimental-utils开发）
示例审计逻辑：- 扫描所有
MemberExpression（如a.b.c）和ChainExpression（如a?.b?.c） - 根据当前作用域的 TypeScript 类型信息，判断
b是否属于a的合法属性 - 对
any/unknown类型上的属性访问发出warn（不可审计，需加类型断言或重构） - 对模板中（
.vue文件<template></template>区域）的深层访问（层级 ≥3）标记为info，要求补充v-if或v-bind:is安全包裹
- 扫描所有
✅ 实操提示：规则可先设为
warn，生成报告供团队对齐；CI 中设为error后，npm run lint失败即终止部署。
流水线集成与报告闭环
在 GitHub Actions / GitLab CI 等平台中，将审计嵌入标准前端 CI 阶段：
-
在
lint步骤后增加audit:props自定义脚本npx eslint --ext .ts,.tsx,.vue src/ --rule 'no-unsafe-property-access: error'
（其中
no-unsafe-property-access是你发布的自定义规则包） -
生成结构化审计报告（JSON 格式），上传为流水线产物
- 包含：文件路径、行号、访问表达式、推导出的类型、是否存疑、建议修复方式
- 可对接内部审计看板，按 PR 统计“高风险属性访问密度”
配合
tsc --noEmit --skipLibCheck做二次校验
TypeScript 编译器本身就能捕获大量属性访问错误（如Object is possibly 'null'），与 ESLint 形成双保险。
不复杂但容易忽略。
