coinbase/salus

Salus 安全扫描协调器镜像

镜像概述

Salus是由Coinbase开发的安全扫描协调器工具，通过在容器中挂载代码仓库，执行多种安全扫描器对代码进行分析，并生成扫描报告。该镜像旨在集中化管理安全策略和扫描器配置，适用于多项目安全治理，同时也支持对单个代码库进行独立安全分析。

核心功能和特性

• 多扫描器协调执行：可集成多种安全扫描工具，对挂载的代码仓库执行统一扫描
• 灵活报告输出：生成详细扫描报告，支持开发者查看及集中式报告系统消费
• 集中化策略管理：统一配置安全策略和扫描规则，确保跨项目安全标准一致
• 多场景支持：既能用于管理大规模项目集群的安全策略，也可独立分析单个代码库

使用场景和适用范围

• 多项目安全治理：在企业级环境中统一管理多个项目的安全扫描策略和配置
• 代码库安全审计：对单个代码库进行独立安全扫描，识别潜在漏洞和安全风险
• CI/CD流程集成：作为持续集成/持续部署流程的一部分，自动化执行代码安全检查
• 安全合规检查：帮助团队满足行业安全合规要求，确保代码符合安全标准

使用方法和配置说明

基本使用方式

通过docker run命令运行Salus容器，需将目标代码仓库目录挂载到容器内的/repo路径：

bash
docker run -v /path/to/your/repository:/repo coinbase/salus

自定义扫描配置

Salus支持通过配置文件自定义扫描规则和策略。在代码仓库根目录创建.salus.yml文件，可指定需要启用的扫描器、扫描规则等：

yaml
# 示例 .salus.yml 配置
scanners:
  Bandit:
    enabled: true
  ESLint:
    enabled: true
    config: .eslintrc.js
  Semgrep:
    enabled: true
    rules:
      - r/java

报告输出

扫描完成后，报告默认输出到标准输出(stdout)，也可通过环境变量配置输出路径：

bash
docker run -v /path/to/repo:/repo -e SALUS_REPORT_PATH=/repo/salus-report.json coinbase/salus

Docker Compose 配置示例

yaml
version: '3'
services:
  salus:
    image: coinbase/salus
    volumes:
      - ./your-repo:/repo
    environment:
      - SALUS_REPORT_FORMAT=json
      - SALUS_REPORT_PATH=/repo/salus-report.json

注意事项

• 确保挂载的代码仓库路径具有适当的读写权限
• 部分扫描器可能需要额外依赖，可通过自定义配置文件进行调整
• 详细配置和支持的扫描器列表可参考官方文档：https://github.com/coinbase/salus