hawkeyesec/scanner-cli

镜像概述

Hawkeye scanner-cli是一款项目安全、漏洞及风险扫描工具，旨在集成到预提交钩子和CI/CD流水线中，自动检测项目中的安全隐患、依赖漏洞及敏感信息泄露等问题，支持多种编程语言和框架。

核心功能

• 通用模块：扫描文件中的***号、密钥、高熵字符串（可能为密码）及可疑文件名；
• Java模块：使用findsecbugs检测代码安全问题，通过OWASP依赖检查扫描gradle/maven依赖漏洞；
• Node.js模块：检测crossenv***依赖，执行npm/yarn审计及过时依赖检查；
• PHP模块：检查composer.lock中的依赖漏洞；
• Python模块：使用bandit扫描代码安全，通过piprot检测过时包，用safety检查依赖漏洞；
• Ruby模块：用brakeman静态分析Rails代码，通过bundler扫描gem漏洞。

使用场景

1. 本地项目扫描：快速检测本地代码库中的安全风险；
2. CI/CD流水线集成：嵌入到GoCD等CI工具中，实现自动化安全检测；
3. 定期审计：周期性扫描代码库，及时发现新引入的安全问题。

配置说明

配置文件（推荐）

通过项目根目录的.hawkeyerc和.hawkeyeignore文件配置扫描行为：

• .hawkeyerc（JSON格式）：配置运行模块、输出方式、失败阈值等，示例：

  json
  {
      "all": true,
      "modules": ["files-ccnumber", "java-owasp"],
      "json": "log/results.json",
      "failOn": "medium",
      "showCode": true
  }
  

• .hawkeyeignore：用正则表达式排除路径或模块错误码，示例：

  ^test/
  # 注释
  ^README.md
  

退出码说明

• 0：无符合阈值的问题；
• 1：存在符合阈值的问题；
• 42：程序异常（需报告bug）。

部署示例

Docker运行命令

bash
docker run --rm -v $PWD:/target docker.xuanyuan.run/hawkeyesec/scanner-cli

GoCD流水线集成示例

xml
<pipeline name="security-scan">
    <stage name="Hawkeye" cleanWorkingDir="true">
        <jobs>
            <job name="scan">
                <tasks>
                    <exec command="docker">
                        <arg>pull</arg>
                        <arg>hawkeyesec/scanner-cli</arg>
                        <runif status="passed" />
                    </exec>
                    <exec command="bash">
                        <arg>-c</arg>
                        <arg>docker run --rm -v $PWD:/target hawkeyesec/scanner-cli</arg>
                        <runif status="passed" />
                    </exec>
                </tasks>
            </job>
        </jobs>
    </stage>
</pipeline>

结果输出示例（JSON+控制台）

bash
docker run --rm -v $PWD:/target docker.xuanyuan.run/hawkeyesec/scanner-cli -j hawkeye-results.json -f critical 2>&1 | tee hawkeye-results.txt