oscarzhou/scan-report

代码安全扫描报告分析工具

概述

该Docker镜像提供了一个专用工具，用于解析和分析由各类代码安全扫描工具（如Snyk、Trivy等）生成的报告，帮助开发与安全团队快速提取关键安全信息、评估风险等级并优化安全响应流程。

核心功能与特性

• 多工具兼容性：支持Snyk、Trivy等主流代码安全扫描工具的报告格式
• 报告解析能力：自动识别并解析不同格式的扫描报告（JSON、XML等）
• 风险评估：对扫描结果进行漏洞分类、严重级别判定和影响范围分析
• 结果可视化：提供简洁的汇总视图，突出高优先级安全问题

使用场景与适用范围

• 开发团队在CI/CD流程中集成，自动化分析代码安全扫描结果
• 安全团队对多个项目的安全扫描报告进行集中管理和趋势分析
• 个人开发者评估项目依赖或容器镜像的安全风险状况

使用方法与配置说明

基本使用（Docker Run）

bash
docker run -v /本地报告目录:/app/reports [镜像名称] analyze --input /app/reports/scan-report.json

• -v /本地报告目录:/app/reports：将本地存储扫描报告的目录挂载到容器内
• analyze：工具主命令，用于启动报告分析
• --input /app/reports/scan-report.json：指定要分析的报告文件路径（容器内路径）

支持的报告来源

• Snyk：通过命令snyk test --json > snyk-report.json生成的JSON格式报告
• Trivy：通过命令trivy image --format json --output trivy-report.json [目标镜像]生成的JSON格式报告

常用配置参数

• --format：指定输出格式，可选值：text（默认）、json、html
• --output：指定分析结果输出路径，如--output /app/reports/result.html
• --severity：筛选特定严重级别漏洞，多个级别用逗号分隔，如--severity HIGH,CRITICAL
• --summary：仅输出汇总信息，不展示详细漏洞列表

Docker Compose配置示例

yaml
version: '3'
services:
  security-report-analyzer:
    image: [镜像名称]
    volumes:
      - ./scan-reports:/app/reports
    command: >
      analyze 
      --input /app/reports/trivy-image-report.json 
      --format html 
      --severity HIGH,CRITICAL 
      --output /app/reports/analysis-result.html