scan action

إجراء فحص أمان سالس

يستخدم هذا الإجراء Salus من Coinbase لتشغيل SAST ومسح التبعية.

الماسحات الضوئية المدعومة

اسم	لغة
حزمة التدقيق	روبي
براكيمان	روبي
تدقيق NPM	جافا سكريبت
تدقيق الغزل	جافا سكريبت
جوسك	يذهب
اللصوص	بيثون
تدقيق البضائع	الصدأ
Semgrep	كثير
الأنماط	N/A (يستخدم SIFT)

مثال الاستخدام

.github/workflows/example.yml

الافتراضات

 on: [push]

jobs:
  salus_scan_job:
    runs-on: ubuntu-latest
    name: Salus Security Scan Example
    steps:
    - uses: actions/checkout@v1
    - name: Salus Scan
      id: salus_scan
      uses: federacy/[email protected]

ماسح واحد

 on: [push]

jobs:
  salus_scan_job:
    runs-on: ubuntu-latest
    name: Salus Security Scan Example
    steps:
    - uses: actions/checkout@v1
    - name: Salus Scan
      id: salus_scan
      uses: federacy/[email protected]
      with:
          active_scanners: "n  - Brakeman"
          enforced_scanners: "n  - Brakeman"

لا الماسحات الضوئية القسرية

 on: [push]

jobs:
  salus_scan_job:
    runs-on: ubuntu-latest
    name: Salus Security Scan Example
    steps:
    - uses: actions/checkout@v1
    - name: Salus Scan
      id: salus_scan
      uses: federacy/[email protected]
      with:
          enforced_scanners: "none"

التكوين المخصص

 on: [push]

jobs:
  salus_scan_job:
    runs-on: ubuntu-latest
    name: Salus Security Scan Example
    steps:
    - uses: actions/checkout@v1
    - name: Salus Scan
      id: salus_scan
      uses: federacy/[email protected]
      env:
        SALUS_CONFIGURATION: "file://../salus-configuration.yaml file://config/pattern_search.yaml"

المدخلات

يصف	وصف	تقصير	خيارات
Active_scanners	الماسحات الضوئية لتشغيل	الجميع	Brakeman ، Patternsearch ، bundleaudit ، npmaudit ، gosec
exfred_scanners	الماسحات الضوئية التي تبني	الجميع	Brakeman ، Patternsearch ، bundleaudit ، npmaudit ، gosec
report_uri	أين ترسل تقارير سالس	ملف: //salus-report.json	أي URI
report_format	ما هو التنسيق الذي يجب استخدامه للتقرير	جيسون	JSON ، YAML ، TXT
report_verbosity	سواء لتمكين تقرير مطول	حقيقي	صحيح ، خطأ
salus_configuration	أين يمكن العثور على تكوين السالس	ملف: //../salus-configuration.yaml	أي URI

ملاحظة: يجب تنسيق active_scanners و effred_scanners من أجل ملف تكوين Salus.

المخرجات

لا أحد.

متغيرات البيئة جيثب

مخزنة في custom_info من فحص السالس.

مفتاح	github متغير	وصف
SHA1	github_sha	تجزئة الالتزام الأخير في البناء
reponame	github_repository	اسم المستودع
المرجع	github_ref	المرجع الذي أثار التدفق (الفرع أو العلامة)
ci_username	github_actor	اسم مستخدم Github للمستخدم الذي أثار البناء
github_action	github_action	اسم الإجراء
github_workflow	github_workflow	اسم سير العمل
github_event_name	github_event_name	اسم الحدث الذي أثار سير العمل
github_event_path	github_event_path	مسار حمولة الحدث
github_workspace	github_workspace	مسار دليل مساحة العمل
github_head_ref	github_head_ref	مرجع مستودع الرأس ، إذا كان متشعبًا
github_base_ref	github_base_ref	مرجع مستودع الأساس ، إذا كان متشعبًا
github_home	بيت	الطريق إلى الدليل المنزلي يستخدمه جيثب

المساهمين

كريس كزوب
أندريه أزوليني
كوينتين لو البقع