codacy/codacy-bandit

Codacy Bandit Engine 镜像文档

一、镜像概述和主要用途

1.1 概述

Codacy Bandit Engine 是 Codacy 平台集成的静态代码分析引擎，基于 Python 安全扫描工具 Bandit 构建。该镜像专为 Codacy 平台设计，用于对 Python 项目进行自动化静态安全分析，检测代码中潜在的安全漏洞及不合规问题。

1.2 主要用途

• 作为 Codacy 平台的核心分析组件，提供 Python 代码的安全漏洞扫描能力
• 检测常见的 Python 安全风险，如硬编码凭证、SQL 注入、跨站脚本（XSS）、不安全的加密实践等
• 生成标准化安全分析报告，辅助开发团队提升代码质量与安全性

二、核心功能和特性

2.1 核心功能

• 静态安全分析：基于 Bandit 工具的核心能力，对 Python 源代码进行静态扫描，识别安全漏洞
• 漏洞类型覆盖：支持检测 50+ 种常见 Python 安全漏洞（如 CWE 分类中的缓冲区溢出、不安全的文件操作等）
• 报告生成：输出结构化分析结果，包含漏洞位置、风险等级（高/中/低）及修复建议

2.2 平台特性

• Codacy 集成：无缝对接 Codacy 平台，支持在 Codacy 控制台查看扫描结果、配置规则及集成到项目工作流
• 自动化扫描：支持与 CI/CD 流程联动，在代码提交或合并时自动触发扫描
• 规则自定义：允许通过配置文件（如 .bandit）自定义扫描规则、忽略特定漏洞或文件

三、使用场景和适用范围

3.1 使用场景

• Python 项目安全审查：在 Codacy 平台中对 Python 项目进行常态化代码安全检查
• CI/CD 流程集成：作为代码合并前的门禁环节，确保新增代码无高危安全漏洞
• 遗留代码审计：对存量 Python 项目进行批量安全扫描，定位历史漏洞

3.2 适用范围

• 项目类型：所有基于 Python 的源代码项目（支持 Python 2.7+、3.4+ 版本）
• 用户群体：使用 Codacy 平台的开发团队、DevOps 工程师及安全审计人员

四、使用方法和配置说明

4.1 在 Codacy 平台中启用

1. 登录 Codacy 控制台，进入目标 Python 项目
2. 导航至 Integrations > Code Analysis Engines
3. 找到 Bandit 引擎，启用并保存配置

4.2 本地运行（开发调试）

若需本地测试，可通过 Docker 直接运行镜像（需参考 https://github.com/codacy/codacy-bandit 获取详细配置）：

bash
# 拉取镜像（假设镜像标签为 latest）
docker pull codacy/codacy-bandit:latest

# 运行扫描（挂载本地代码目录，输出结果到控制台）
docker run --rm -v $(pwd):/code codacy/codacy-bandit:latest /code

五、Docker 部署方案示例

5.1 基础运行命令（本地调试）

bash
# 扫描当前目录下的 Python 代码，输出详细报告
docker run --rm \
  -v $(pwd):/app \          # 挂载本地代码目录到容器内 /app
  codacy/codacy-bandit:latest \
  --target /app \           # 指定扫描目标路径
  --format json             # 输出 JSON 格式报告

5.2 与 Codacy 平台联动（CI/CD 集成）

在 CI/CD 配置文件（如 .gitlab-ci.yml）中集成：

yaml
codacy_bandit_scan:
  image: codacy/codacy-bandit:latest
  script:
    - codacy-bandit scan --target ./src  # 扫描项目 src 目录
  variables:
    CODACY_PROJECT_TOKEN: $CODACY_PROJECT_TOKEN  # 从环境变量注入 Codacy 项目令牌
  only:
    - main  # 仅在 main 分支触发

六、配置参数与环境变量

6.1 核心扫描参数

6.2 环境变量

七、参考链接

• 源码仓库：https://github.com/codacy/codacy-bandit
• 构建状态：[***]
• Bandit 官方文档：[***]