checkpoint/spectral-gitlab-pipeline-scanner

Spectral GitLab 流水线扫描器

Spectral 帮助您以简单无干扰的方式监控、分类和保护代码、资产及基础设施，检测暴露的API密钥、令牌、凭证和高风险安全配置错误。

此镜像用于在GitLab的CI/CD流程中运行Spectral。运行此镜像前，需确保您拥有必要的GitLab基础设施，例如基于docker执行器的GitLab运行器。

核心功能和特性

• 上下文感知扫描：聚焦变更文件，提供针对性的安全检测结果，优化开发者体验
• 两种运行模式：
  • 合并请求模式：扫描合并请求中变更的文件
  • 独立推送模式：计算上次提交与推送前最后一次提交之间的差异，扫描变更文件
• 可配置扫描范围：支持通过标签和引擎指定扫描范围

使用场景和适用范围

适用于GitLab CI/CD流水线中的安全扫描环节，尤其适合：

• 代码提交和合并请求的自动化安全检查
• 检测代码中的敏感信息泄露（如API密钥、令牌）
• 识别基础设施即代码（IaC）中的安全配置错误
• 对自托管GitLab环境的安全集成

使用方法和配置说明

环境变量配置

需在项目（或更高层级的GitLab组件）设置中配置以下环境变量：

GitLab CI配置示例

在您的.gitlab-ci.yml文件中定义作业，以下是基本YAML配置示例：

yml
stages:
  - test

spectral-scan:
  stage: test
  allow_failure: true
  image: checkpoint/spectral-gitlab-pipeline-scanner:latest
  variables:
    GIT_STRATEGY: none
  script:
    - /usr/src/app/scanner

触发条件配置

使用rules属性定义作业的触发条件（如推送到主分支、合并请求事件等），详情参见GitLab作业控制文档。

支持说明

注意：高级集成目前仅支持独立GitLab服务器。

其他GitLab集成方式

若希望在不使用流水线的情况下保护合并请求，可使用Spectral GitLab Webhook扫描器。