redemonbr/shiftleft-cli

ShiftLeft CLI Docker镜像

镜像概述

本镜像包含ShiftLeft CLI（简称sl），用于代码安全工具。ShiftLeft CLI提供SAST（静态应用安全测试）、秘密检测、安全洞察、SCA（软件成分分析）和安全培训等功能接口。

更多关于ShiftLeft CLI的信息，请参阅其官方文档。

本镜像每周自动更新，由ReDemoNBR和rdnxk维护**（非ShiftLeft官方维护）**。与官方镜像（如https://hub.docker.com/r/shiftleft/scan%EF%BC%89%E7%9B%B8%E6%AF%94%EF%BC%8C%E6%9C%AC%E9%95%9C%E5%83%8F%E5%85%B7%E6%9C%89%E4%BB%A5%E4%B8%8B%E4%BC%98%E5%8A%BF%EF%BC%9A%E5%AE%98%E6%96%B9%E9%95%9C%E5%83%8F%E5%9F%BA%E4%BA%8E%60ubuntu:focal%60%E6%9E%84%E5%BB%BA%EF%BC%8C%E4%BD%93%E7%A7%AF%E8%BE%83%E5%A4%A7%EF%BC%88%E7%BA%A6800MB%EF%BC%89%EF%BC%8C%E8%80%8C%E6%9C%AC%E9%95%9C%E5%83%8F%E6%8F%90%E4%BE%9BDebian%EF%BC%88%E7%BA%A6200MB%EF%BC%89%E5%92%8CAlpine%EF%BC%88%E7%BA%A683MB%EF%BC%89%E4%B8%A4%E7%A7%8D%E8%BD%BB%E9%87%8F%E7%BA%A7%E5%8F%98%E4%BD%93%EF%BC%9B%E6%AD%A4%E5%A4%96%EF%BC%8C%E5%AE%98%E6%96%B9%E9%95%9C%E5%83%8F%E5%9C%A8Docker Hub上缺乏文档，且其教程中下载的包装脚本未验证校验和，可能存在注入风险。

本镜像专为CI/CD管道设计。

标签说明

标签格式为<version>-<variant>或<version>（后者默认使用https://hub.docker.com/_/debian%E4%BD%9C%E4%B8%BA%E5%9F%BA%E7%A1%80%E9%95%9C%E5%83%8F%EF%BC%89%E3%80%82

所有镜像均包含可直接使用的sl可执行文件，并别名化为shiftleft-cli，以避免与https://github.com/mtoyoda/sl%E6%B7%B7%E6%B7%86%E3%80%82

镜像变体

redemonbr/shiftleft-cli:<version> | redemonbr/shiftleft-cli:<version>-bullseye

默认镜像，基于Debian最新稳定版"bullseye"构建，可从https://hub.docker.com/_/debian%E8%8E%B7%E5%8F%96%E3%80%82

redemonbr/shiftleft-cli:<version>-alpine

基于Alpine Linux最新稳定版构建，可从https://hub.docker.com/_/alpine%E8%8E%B7%E5%8F%96%E3%80%82

此变体适用于对最终镜像体积有严格要求的场景。需注意的是，Alpine使用musl libc而非glibc，部分软件可能因libc依赖差异出现兼容性问题。

镜像来源

• 代码仓库：<[***]>
• 问题反馈：<[***]>

使用方法

关于ShiftLeft CLI的具体选项和参数，请参阅其官方CLI文档。本文档仅介绍Docker镜像的使用方式。

Docker Run 命令行使用

基础--help使用

bash
$ docker run redemonbr/shiftleft-cli:latest sl --help

挂载应用卷并分析

bash
$ docker run \
  --rm \
  --name shiftleft \
  --volume /path/to/my/application/:/mnt/my-app/ \
  --env SHIFTLEFT_APP=my-app \
  --env SHIFTLEFT_CPG=true \
  --env SHIFTLEFT_NO_DIAGNOSTIC=true \
  --env SHIFTLEFT_ACCESS_TOKEN=<access_token> \
  --env SHIFTLEFT_LANG_JAVA=true \
  --env SHIFTLEFT_JAVA_OPTS=-Xmx10g \
  redemonbr/shiftleft-cli:bullseye \
  /bin/bash

root@942b0046a022:/# sl auth
root@942b0046a022:/# sl analyze my-app.jar --dep dependency-1.jar --dep dependency-2.jar

挂载应用卷并执行多命令

shell
$ docker run \
  -it \
  --rm \
  --name shiftleft \
  --volume /path/to/my/application/:mnt/my-app/ \
  --env SHIFTLEFT_APP=my-app \
  --env SHIFTLEFT_CPG=true \
  --env SHIFTLEFT_NO_DIAGNOSTIC=true \
  --env SHIFTLEFT_ACCESS_TOKEN=<access_token> \
  --env SHIFTLEFT_LANG_JAVA=true \
  --env SHIFTLEFT_JAVA_OPTS=-Xmx10g \
  redemonbr/shiftleft-cli:alpine \
  /bin/sh

/ # shiftleft-cli auth
/ # shiftleft-cli analyze my-app.jar --dep dependency-1.jar --dep dependency-2.jar --tag branch=my-tag
/ # shiftleft-cli check-analysis --branch "my-tag" --report --report-file "./shiftleft.md"

GitLab-CI（持续集成示例）

NodeJS项目在GitLab-CI中的使用示例：

yml
audit:sast-scan:
  stage: test
  image: redemonbr/shiftleft-cli:alpine
  variables:
    SHIFTLEFT_APP: my-great-app
    SHIFTLEFT_CPG: true
    SHIFTLEFT_LANG_JS: true
    SHIFTLEFT_NO_DIAGNOSTIC: true
    SHIFTLEFT_WAIT: true
    ## 替换为您的配置，建议存储在CI/CD密钥中
    SHIFTLEFT_ACCESS_TOKEN: <token_here>
    SHIFTLEFT_ORG: <org_id_here>
  before_script:
    - npm install
    - shiftleft-cli auth --org "$SHIFTLEFT_ORG"
  script:
    - shiftleft-cli analyze --tag "branch=$CI_COMMIT_REF_NAME" ./ -- --no-babel --exclude "node_modules/,test/,.git/,.cache/"
    # 创建报告目录
    - mkdir .reports/
    - shiftleft-cli check-analysis --branch "$CI_COMMIT_REF_NAME" --report --report-file "./.reports/shiftleft.md"
  after_script:
    # 复制报告到指定目录
    - cp .reports/shiftleft.md ./shiftleft.md
  artifacts:
    name: shiftleft-$CI_COMMIT_SHORT_SHA
    paths:
      - shiftleft.md
    expire_in: 7 days
    public: false