swisleiden/php-security-checker-pipe

镜像概述

本Docker镜像是专为Bitbucket Pipelines设计的管道（pipe），集成了Local PHP Security Checker工具，用于在PHP项目构建流程中自动检测安全漏洞。通过与Bitbucket Pipelines无缝集成，可快速实现对项目依赖及代码的安全扫描，帮助开发团队在CI/CD环节提前发现潜在风险。

核心功能与特性

核心功能

• Bitbucket Pipelines原生集成：无需额外配置运行环境，直接作为管道步骤嵌入Bitbucket Pipelines流程
• 安全漏洞扫描：运行Local PHP Security Checker工具，检测PHP项目依赖及代码中的已知安全漏洞
• 标准输出支持：扫描结果以清晰格式输出，便于查看漏洞详情（如CVE编号、影响版本、修复建议等）

特性

• 轻量高效：基于精简基础镜像，启动速度快，扫描过程资源占用低
• 配置灵活：支持自定义扫描路径、输出格式等参数
• 兼容性广：适配主流PHP版本及composer项目结构

使用场景与适用范围

适用场景

• PHP项目在Bitbucket的CI/CD流程中集成安全检查（如代码提交、Pull Request创建、部署前验证等环节）
• 自动化检测项目依赖（通过composer.lock）及代码中的安全漏洞
• 配合Bitbucket Pipelines的分支策略，实现分环境（开发/测试/生产）的安全扫描

适用范围

• 基于Bitbucket托管的PHP项目（需使用Bitbucket Pipelines）
• 采用composer管理依赖的PHP项目（需包含composer.json或composer.lock文件）
• 需要在CI/CD流程中嵌入自动化安全检测的开发团队

使用方法与配置说明

前置条件

• 项目已启用Bitbucket Pipelines（需在Bitbucket仓库中配置bitbucket-pipelines.yml）
• 项目根目录存在composer.json或composer.lock文件（Local PHP Security Checker依赖此文件扫描依赖漏洞）

基础使用示例

在bitbucket-pipelines.yml中添加如下步骤，即可在默认流水线中集成安全扫描：

yaml
pipelines:
  default:
    - step:
        name: "PHP Security Scan"
        script:
          - pipe: atlassian/local-php-security-checker-pipe:latest  # 使用最新版本管道

高级配置参数

通过环境变量自定义扫描行为，支持以下参数：

配置示例（含参数自定义）

yaml
pipelines:
  branches:
    main:  # 仅在main分支触发
      - step:
          name: "生产环境安全扫描"
          script:
            - pipe: atlassian/local-php-security-checker-pipe:latest
              variables:
                CHECK_PATH: "./app"  # 仅扫描app目录
                OUTPUT_FORMAT: "json"  # 输出JSON格式结果
                FAIL_ON_VULNERABILITY: "true"  # 发现漏洞时终止部署

输出结果说明

扫描完成后，结果将输出至控制台，包含以下关键信息：

• 漏洞总数（按严重级别分类：Critical/High/Medium/Low）
• 受影响的依赖包名称及版本
• CVE漏洞编号及描述
• 修复建议（如升级至安全版本）

JSON格式示例：

json
{
  "vulnerabilities": [
    {
      "package": "guzzlehttp/guzzle",
      "version": "6.3.0",
      "cve": "CVE-2022-24775",
      "severity": "high",
      "advisory": "https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24775"
    }
  ]
}

注意事项

1. 确保项目中存在有效的composer.lock文件（推荐提交至版本库），否则可能导致依赖解析不完整
2. 对于私有依赖或内部包，需确保Bitbucket Pipelines有权访问依赖源（如配置私有Composer仓库认证）
3. 定期更新管道版本（atlassian/local-php-security-checker-pipe:latest）以获取最新漏洞数据库及功能优化