uptycs/uptycs-ci

漏洞扫描器CI集成Docker镜像

镜像概述

本Docker镜像专为在CI（持续集成）流水线中集成漏洞扫描功能而设计，提供轻量级、可移植的漏洞检测能力。通过将其集成到开发流程的CI阶段，可实现代码或应用构建产物的自动化漏洞扫描，帮助开发团队在软件发布前及时发现并修复安全隐患，减少生产环境安全风险。

核心功能与特性

核心功能

• CI流水线无缝集成：支持与主流CI/CD工具（如GitHub Actions、GitLab CI、Jenkins、CircleCI等）快速集成，无需复杂配置
• 自动化扫描流程：容器化设计确保扫描环境一致性，可直接在CI任务中触发扫描，无需额外依赖安装
• 多维度漏洞检测：覆盖依赖组件漏洞（SCA）、代码安全漏洞（SAST）等常见安全风险类型
• 灵活报告输出：支持生成JSON、HTML、XML等多种格式的漏洞报告，便于后续分析或集成到第三方系统

关键特性

• 轻量级设计：优化镜像体积，减少CI流水线执行时间
• 可配置扫描参数：通过环境变量灵活设置扫描目标、深度、阈值等参数
• 兼容性广泛：支持扫描多种开发语言项目（如Java、Python、JavaScript等）及容器镜像
• 无状态运行：每次扫描独立执行，不残留环境数据，确保CI流程稳定性

使用场景

• 开发团队CI流程集成：在代码提交、PR合并或构建阶段自动触发漏洞扫描，阻止存在高危漏洞的代码进入下一流程
• 开源项目安全检测：开源维护者通过集成该镜像，在CI流程中向贡献者反馈代码安全问题
• 企业DevSecOps实践：作为DevSecOps体系的一环，将安全检测左移至开发早期，降低修复成本
• 多环境一致性扫描：在不同CI平台（如GitHub、GitLab）中使用统一镜像，确保扫描规则和结果一致性

使用方法与配置说明

基本使用（Docker Run）

通过docker run命令可直接在CI任务中执行扫描，基本语法如下：

bash
docker run --rm \
  -e SCAN_TARGET="<扫描目标路径或URL>" \
  -e OUTPUT_FORMAT="<报告格式，支持json/html/xml>" \
  -e SEVERITY_THRESHOLD="<漏洞严重级别阈值，如high/critical>" \
  -v "$(pwd):/workspace" \  # 挂载工作目录（若扫描本地项目）
  vulnerabilities-scanner-ci:latest

环境变量配置

CI平台集成示例

GitHub Actions集成

在.github/workflows/security-scan.yml中添加以下配置：

yaml
name: Vulnerability Scan
on: [push, pull_request]

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v4
      
      - name: Run vulnerability scan
        run: |
          docker run --rm \
            -e SCAN_TARGET="/workspace" \
            -e OUTPUT_FORMAT="html" \
            -e SEVERITY_THRESHOLD="critical" \
            -v "$(pwd):/workspace" \
            vulnerabilities-scanner-ci:latest
      
      - name: Upload report
        uses: actions/upload-artifact@v3
        with:
          name: vulnerability-report
          path: reports/  # 对应容器内REPORT_PATH目录

Jenkins集成

在Jenkins Pipeline中添加以下步骤：

groovy
pipeline {
  agent any
  stages {
    stage('Vulnerability Scan') {
      steps {
        script {
          docker.image('vulnerabilities-scanner-ci:latest').withRun(
            "-e SCAN_TARGET='/workspace' " +
            "-e OUTPUT_FORMAT='json' " +
            "-v ${workspace}:/workspace"
          ) {}
        }
      }
      post {
        always {
          archiveArtifacts artifacts: 'reports/*.json', fingerprint: true
        }
      }
    }
  }
}

注意事项

1. 扫描本地项目时，需通过-v参数将宿主目录挂载至容器内（如示例中的/workspace），确保镜像可访问扫描目标
2. SEVERITY_THRESHOLD设置为critical时，仅严重级别漏洞会导致扫描失败；设置为low时，任何漏洞均会阻断CI流程
3. 报告文件默认生成在容器内/reports目录，需通过挂载目录或CI平台的工件上传功能持久化报告
4. 对于大型项目，建议使用SCAN_DEPTH=quick进行初步筛查，在关键节点（如发布前）使用deep扫描确保全面性