easy_sast

簡単です

Easy_Sastは、統合パイプラインで使用するDockerコンテナであり、アプリケーションのビルドアーティファクトを静的分析ツールに送信します。これは、同様の機能を促進するための他のコンテナのビルドパターンとして機能し、Veracodeの静的分析製品とネイティブに統合する方法で開発されています。

• 特徴
• クイックスタート
• 使用法
• 貢献

Easy_SastはDocker Hubからdocker pull seiso/easy_sast実行して入手できます

高度な使用法と詳細については、Wikiを参照してください。

特徴

このコードベースは、頑丈なマニフェストに沿って開発されました。そのため、それは次のとおりです。

• 使いやすい：DevOpsを直感的に理解するワークフローオプションと構成を備えています。
• 簡単に構成可能：実用的なデフォルト、および構成ファイル、環境変数、および/またはCLI引数などの多数の構成オプション。
• 明確で理解可能なコード：タイプヒント、キーワード引数、および正規化されたコードスタイルの定期的な使用により、コードの意図を簡単に理解できます。
• 堅牢になるように設計：エラー処理、自動化されたセキュリティ検証、および広範な検証。
• 100％のテスト：すべてのコミットでの単体テストの100％コードカバレッジ。
• 100％一貫してフォーマットされています：すべてのコミットでDocker、Make、Yaml、およびPythonの糸くず。

クイックスタート

前提条件

このプロジェクトを構築および実行するには、Docker 18.09以降、Find、Git、GNU Make、およびPython 3を使用することをお勧めします。

設定

統合要件

Veracodeと統合するには、次のことが必要です。

• アプリケーションのデバッグビルドを作成できます。

• 以下に概説するVeracodeのSAST製品APIを使用するための有効なアカウントとライセンスを持っています。

• 使用する予定のVeracodeの分析センターにアプリケーションを用意してください。

• 環境変数としてVeracode資格情報をエクスポートします。

   export VERACODE_API_KEY_ID=EXAMPLE
   export VERACODE_API_KEY_SECRET=EXAMPLE
  

はじめる

1. Docker画像を作成します：

   make build

2. Dockerコンテナを実行し、API資格情報を渡し、ビルドアーティファクトを含むディレクトリを /ビルドにマウントします。

   docker run --env-file <( env | grep ^VERACODE_API_KEY_ ) -v " /path/to/build " :/build seiso/easy_sast:latest

追加の詳細と構成オプションは、使用法とWikiで概説されています。

使用法

コマンドライン

usage: main.py [-h] [--config-file CONFIG_FILE] [--version]
               [--debug | --verbose]

optional arguments:
  -h, --help                          show this help message and exit
  --config-file CONFIG_FILE           specify a config file
  --version                           show program ' s version number and exit
  --debug                             enable debug level logging
  --verbose                           enable info level logging

実行時に情報をEasy_Sastに渡すための2つの推奨方法があります。

1. 環境変数をdocker run --env-file使用してdockerに渡します。例えば：

   docker run --env-file <( env | grep VERACODE_API_KEY_ ) -v " /path/to/build " :/build seiso/easy_sast:latest

2. また、 docker runに引数を追加することにより、コンテナ内のPythonに引数を渡すこともできます。例えば：

   docker run -e VERACODE_API_KEY_ID=EXAMPLE -e VERACODE_API_KEY_SECRET=EXAMPLE seiso/easy_sast:latest --debug

プルリクエストのためにSASTを最適化するなど、より高度な使用について学びたいですか？ wikiをチェックしてください。

サポートされたVeracode API

• APIをアップロードします
• 結果API

最低限のVeracodeユーザーは、アップロードAPIとそのgetApplist.doエンドポイントにアクセスする許可を持たなければならないことに注意してください。

これらのAPIと対話するためのより多くのVeracode APIまたはワークフローのサポートをご覧になりたい場合は、問題を開いてお知らせください！

貢献

1. リポジトリをフォークします
2. git checkout -b feature/descriptionを介して機能ブランチを作成します
3. 変更を加えてください
4. git commit -am 'Summarize the changes here'
5. 新しいプルリクエストを作成する（ハウツー）