appthreat/sast-scan

镜像概述

appthreat/sast-scan是一款集成多种开源静态分析安全测试（SAST）工具的容器镜像，为DevSecOps工程师提供一站式代码安全扫描能力，无需复杂配置即可在CI环境或本地快速运行，有效识别代码中的安全风险。

核心功能

• 零复杂配置与服务器依赖，开箱即用
• CI环境中扫描速度极快，完整扫描通常仅需数分钟
• 生成美观易读的HTML报告，便于团队共享与安全审计
• 检测到关键/高危漏洞时自动返回退出码1（中断构建）
• 细节优化提升DevOps团队使用体验

集成工具与运行时

按编程语言分类的工具

集成运行时环境

• jq、Go 1.12、Python 3.6、OpenJDK 11（jre）
• Ruby 2.5.5、Rust、Node.js 10、Yarnpkg

部分工具支持SARIF开放标准格式报告，便于集成到其他安全工具中。

使用场景与配置

CI集成示例

GitHub Action

yaml
- name: 执行SAST扫描
  uses: AppThreat/sast-scan-action@v1.0.0
  with:
    output: reports
    type: python,bash
- name: 上传扫描报告
  uses: actions/upload-artifact@v1.0.0
  with:
    name: sast-reports
    path: reports

GitLab CI

yaml
sast:
  stage: test
  image: appthreat/sast-scan
  script:
    - scan --src ${CI_PROJECT_DIR} --type nodejs --out_dir ${CI_PROJECT_DIR}/reports
  artifacts:
    paths: [${CI_PROJECT_DIR}/reports/]

本地扫描示例

Python项目扫描

bash
docker run --rm -e "WORKSPACE=${PWD}" -v "$PWD:/app:cached" quay.io/appthreat/sast-scan scan --src /app --type python

多类型项目扫描

bash
docker run --rm -e "WORKSPACE=${PWD}" -v "$PWD:/app:cached" quay.io/appthreat/sast-scan scan --src /app --type credscan,nodejs,python,yaml --out_dir /app/reports

Java项目扫描（需先编译）

bash
docker run --rm -e "WORKSPACE=${PWD}" -v ~/.m2:/.m2 -v <源码路径>:/app quay.io/appthreat/sast-scan scan --src /app --type java

报告查看

扫描报告存于--out_dir指定目录，SARIF格式报告可通过以下工具查看：

• 在线查看器：[***]
• VS Code扩展：MS-SarifVSCode.sarif-viewer
• Azure DevOps扩展：shiftleftsecurity.sl-scan-results

赞助商

该项目由ShiftLeft资助支持，反馈建议可通过GitHub Issues或ShiftLeft讨论论坛提交。