meterian/cli

Docker容器化的Meterian Client

使用Docker容器化的Meterian Client扫描项目中的漏洞。您无需安装Meterian Scanner客户端运行所需的任何依赖，扫描将在Docker容器内的隔离环境中进行。此Docker镜像包含Java运行时以及Meterian平台支持的所有平台所需的工具。

基本用法

首先，在主机上安装Docker，并确保可以以非root用户身份使用Docker。

使用容器化Meterian Client的最简单方法是通过脚本https://github.com/MeterianHQ/meterian-scanner-docker/blob/master/scripts/meterian-docker%EF%BC%88https://raw.githubusercontent.com/MeterianHQ/meterian-scanner-docker/master/scripts/meterian-docker%EF%BC%89%E3%80%82%E5%AE%83%E6%8E%A5%E5%8F%97Meterian PDF手册中提到的所有标准参数，用法完全相同，但不能在交互模式下使用，因此需要通过环境变量METERIAN_API_TOKEN提供有效的令牌。建议在启动脚本中设置此变量。

假设已将脚本添加到路径中，只需进入项目文件夹并运行：

meterian-docker

或者，设置环境变量METERIAN_WORKDIR指定项目文件夹路径，然后运行便捷脚本：

export METERIAN_WORKDIR=/project-folder
meterian-docker

其工作方式与正常调用客户端完全相同。请注意，默认情况下，脚本会将包管理器使用的标准库缓存文件夹绑定到容器中（如下表所示），以确保执行速度与在本地机器上运行相同。如果需要，可以通过添加--unbound参数禁用此行为。

支持的语言

目前，此容器化版本支持以下平台：

• Java/Maven
• Java/Gradle
• .NET
• PHP
• Ruby
• NodeJs
• Python
• Golang
• Swift / Objective-C
• Rust
• Elixir
• Perl
• C/C++
• R

请注意，如果不需要完整版，我们还提供https://hub.docker.com/r/meterian/cli/tags%E3%80%82

高级用法

如果需要显式运行Docker，也可以执行以下命令。运行容器的基本方式如下：

PWD=your-project-folder
docker run -it --rm \
          --volume ${PWD}:/workspace \
          --env METERIAN_API_TOKEN=your-token-here \
          meterian/cli 

请注意，在此情况下，工具使用的本地缓存不会被绑定。建议绑定这些文件夹，最简单的方法是使用提供的https://github.com/MeterianHQ/meterian-scanner-docker/blob/master/scripts%E8%84%9A%E6%9C%AC%E3%80%82

如果需要手动操作，例如为Maven构建绑定Java缓存：

PWD=your-project-folder
docker run -it --rm \
          --volume ${PWD}:/workspace \
          --env METERIAN_API_TOKEN=your-token-here \
          --mount type=bind,source=${HOME}/.m2,target=/home/meterian/.m2 \
          meterian/cli 

在某些情况下（如dotnet），需要指定UID和GID才能正常工作，示例如下：

PWD=your-project-folder
HOST_UID=`id -u`
HOST_GID=`id -g`
docker run -it --rm \
          --volume ${PWD}:/workspace \
          --env METERIAN_API_TOKEN=your-token-here \
          --mount type=bind,source=${HOME}/.dotnet,target=/home/meterian/.dotnet \
          --mount type=bind,source=${HOME}/.nuget,target=/home/meterian/.nuget \
          --env HOST_UID=${HOST_UID} \
          --env HOST_GID=${HOST_GID} \
          meterian/cli 

容器中的脚本由meterian用户运行，其主目录为/home/meterian。可在https://github.com/MeterianHQ/meterian-scanner-docker/blob/master/scripts/meterian-docker%E8%84%9A%E6%9C%AC%E6%BA%90%E7%A0%81%E4%B8%AD%E6%9F%A5%E7%9C%8B%E5%B7%A5%E4%BD%9C%E5%8E%9F%E7%90%86%E3%80%82%E5%A6%82%E6%9C%89%E4%BB%BB%E4%BD%95%E9%97%AE%E9%A2%98%EF%BC%8C%E8%AF%B7%E9%80%9A%E8%BF%87%E6%94%AF%E6%8C%81%E6%B8%A0%E9%81%93%E8%81%94%E7%B3%BB%E6%88%91%E4%BB%AC%E3%80%82

禁用客户端自动更新

容器化客户端在构建时包含最新版本的客户端，且在镜像中保持不变。为确保用户始终使用最新版本，默认情况下会在检测到更新时自动更新。要禁用此行为，可设置环境变量CLIENT_AUTO_UPDATE：

export CLIENT_AUTO_UPDATE=false

绑定.ssh和.gitconfig以允许Go下载私有模块

通过将~/.ssh和Git配置绑定到Docker容器中，可允许Go下载非公开代码。以下是示例代码片段，有关此实践的更多信息，请阅读此处：

git config --global url.ssh://git@github.com/.insteadOf https://github.com/
docker run --rm \ 
           --volume ${PWD}:/workspace \
           -e METERIAN_API_TOKEN=$METERIAN_API_TOKEN \
           -e GOPRIVATE=$GOPRIVATE \
           --volume ${HOME}/.ssh:/home/meterian/.ssh \
           --volume ${HOME}/.gitconfig:/home/meterian/.gitconfig \
           meterian/cli

注意：如上所述，从Go 1.13版本开始，需要设置GOPRIVATE环境变量才能正常工作，因此需要将其暴露给容器。

Linux用户

要允许非root用户使用Docker，可运行以下命令：

sudo setfacl --modify user:<用户名或ID>:rw /var/run/docker.sock

文档

• https://github.com/MeterianHQ/meterian-scanner-docker#meterian-scanner-docker-container
• [***]