easy_sast

簡單的薩斯特

Easy_sast是一個用於集成管道中的Docker容器，將應用程序的構建工件提交給靜態分析工具。這是以一種旨在促進類似功能的其他容器的構建模式來開發的，並與Veracode的靜態分析產品一起本地集成。

• 特徵
• Quickstart
• 用法
• 貢獻

easy_sast可以通過運行docker pull seiso/easy_sast從Docker Hub獲得

有關高級用法和更多信息，請參見Wiki。

特徵

該代碼基礎是根據崎visto的宣言而開發的。因此，是：

• 易於使用：使用直覺了解DevOps的工作流選項和配置。
• 易於配置：實用的默認值以及許多配置選項，例如配置文件，環境變量和/或CLI參數。
• 清晰可理解的代碼：定期使用類型提示，關鍵字參數和歸一化代碼樣式，使理解代碼的意圖變得容易。
• 設計為可靠的：錯誤處理，自動化安全驗證和普遍驗證。
• 經過100％測試：所有提交的單位測試的100％代碼覆蓋範圍。
• 100％始終格式化：docker，make，yaml和python的覆蓋。

Quickstart

先決條件

為了構建和運行此項目，我們建議您擁有Docker 18.09或更新，查找，Git，Gnu Make和Python 3。

設定

集成要求

為了與VeraCode集成，您需要：

• 能夠生成您的應用程序的調試構建。

• 擁有一個有效的帳戶和許可證，可以使用下面概述的Veracode的SAST產品API。

• 在您打算使用的Veracode分析中心中有一個應用程序。

• 將您的Veracode憑據導出為環境變量：

   export VERACODE_API_KEY_ID=EXAMPLE
   export VERACODE_API_KEY_SECRET=EXAMPLE
  

入門

1. 構建Docker圖像：

   make build

2. 運行Docker容器，將其傳遞給您的API憑據，並將包含您的構建工件的目錄安裝到 /構建中：

   docker run --env-file <( env | grep ^VERACODE_API_KEY_ ) -v " /path/to/build " :/build seiso/easy_sast:latest

在用法和Wiki中概述了其他詳細信息和配置選項。

用法

命令行

usage: main.py [-h] [--config-file CONFIG_FILE] [--version]
               [--debug | --verbose]

optional arguments:
  -h, --help                          show this help message and exit
  --config-file CONFIG_FILE           specify a config file
  --version                           show program ' s version number and exit
  --debug                             enable debug level logging
  --verbose                           enable info level logging

有兩種建議的方法將信息傳遞到運行時easy_sast：

1. 將環境變量傳遞到使用--env-file docker run 。例如：

   docker run --env-file <( env | grep VERACODE_API_KEY_ ) -v " /path/to/build " :/build seiso/easy_sast:latest

2. 您可能還希望通過將您的論點附加到docker run中，將論點傳遞給容器中的Python。例如：

   docker run -e VERACODE_API_KEY_ID=EXAMPLE -e VERACODE_API_KEY_SECRET=EXAMPLE seiso/easy_sast:latest --debug

是否想了解更高級的用法，例如優化拉動請求的SAST？查看Wiki。

支持的Veracode API

• 上傳API
• 結果API

請注意，至少您的VeraCode用戶必須有權訪問上傳API及其getApplist.do端點。

如果您想看到更多的Veracode API或工作流程與這些API進行交互的支持，請打開一個問題並告訴我們！

貢獻

1. 分叉存儲庫
2. 通過git checkout -b feature/description創建功能分支
3. 進行更改
4. 通過git commit -am 'Summarize the changes here'
5. 創建一個新的拉請請求（操作方法）