wesleydeanflexion/upload-sarif-to-defectdojo

将SARIF结果上传到Defect Dojo

镜像概述

这是一个Shell脚本工具，用于迭代处理传入的SARIF格式文件并将结果上传到DefectDojo实例。最初设计用于上传Megalinter生成的SARIF报告，也适用于任何产生SARIF输出的工具（如semgrep --sarif）。支持在内部CI/CD系统（如Jenkins）中使用，可与非互联网可访问的DefectDojo实例集成。配置通过环境变量或配置文件提供，支持多文件上传及不同项目的配置文件。

核心功能和特性

• 多文件处理：支持上传多个SARIF文件，即使文件位于不同位置或关联不同项目
• 灵活配置：通过环境变量、配置文件或两者混合方式配置，适配CI/CD系统环境变量注入场景
• 智能配置文件搜索：按特定顺序搜索配置文件（当前目录、用户主目录等）
• 安全认证：通过环境变量或配置文件传递认证令牌，避免命令行暴露敏感信息
• 默认值处理：关键参数提供合理默认值（如默认扫描类型由文件扩展名决定）
• Glob模式支持：区分未匹配的glob模式（视为无文件上传的成功无操作）和显式不存在的文件（报错退出）

使用场景和适用范围

• CI/CD流程中集成SARIF报告自动上传
• 内部安全扫描结果导入DefectDojo进行集中管理
• 多工具生成的SARIF报告统一上传处理
• 非互联网环境下的DefectDojo实例数据导入

使用方法和配置说明

快速开始

bash
export DD_TOKEN="${DEFECT_DOJO_AUTH_TOKEN}"
curl -s \
  -o './upload_sarif_to_defectdojo.bash' \
  -L 'https://raw.githubusercontent.com/wesley-dean/upload-sarif-to-defectdojo/main/upload_sarif_to_defectdojo.bash'
./upload_sarif_to_defectdojo.bash \
  -p "${PRODUCT}" \
  -e "${ENGAGEMENT}" \
  -s "${DEFECT_DOJO_SERVER}" \
  /path/to/SARIF/files/*.sarif

工具可通过以下方式获取：

• 运行时下载（https://raw.githubusercontent.com/wesley-dean/upload-sarif-to-defectdojo/main/upload_sarif_to_defectdojo.bash%EF%BC%89
• 从https://github.com/wesley-dean/upload-sarif-to-defectdojo/pkgs/container/upload-sarif-to-defectdojo%E6%8B%89%E5%8F%96%E9%95%9C%E5%83%8F
• 从https://hub.docker.com/r/wesleydeanf/upload-sarif-to-defectdojo%E6%8B%89%E5%8F%96%E9%95%9C%E5%83%8F

CLI标志

容器化使用

构建镜像

bash
docker build \
  -t ghcr.io/wesley-dean/upload-sarif-to-defectdojo \
  .

运行镜像

bash
docker run \
  --rm \
  -it -v "$PWD:$PWD" \
  -w "$PWD" \
  -u "$UID" \
  ghcr.io/wesley-dean/upload-sarif-to-defectdojo \
  megalinter-reports/sarif/*.sarif

配置参数说明

必要参数

可选参数

安全注意事项

配置文件会作为可执行Shell代码被加载，这意味着文件中包含的任何命令都将在脚本上下文中执行。仅使用来自可信仓库或环境的配置文件，不要从未经审核的拉取请求、分支或外部贡献中加载配置文件。