wshobson/sast-configuration

sast-configuration 是做什么的？

配置静态应用安全测试（SAST）工具，实现对应用程序代码的自动化漏洞检测。适用于设置安全扫描、实施DevSecOps实践或自动化代码漏洞检测的场景。

概述

本技能提供了一种标准化的方式来配置SAST工具，以便在开发过程中自动识别安全漏洞。它涵盖了多种常用SAST工具，并提供了详细的设置指导，帮助用户快速实现代码安全检测自动化。

支持的平台

• Semgrep: 轻量级、规则驱动的SAST工具
• CodeQL: GitHub推出的基于查询的SAST工具
• SonarQube: 开源代码质量和安全检测平台
• 其他第三方SAST引擎

环境要求

• Python 3.8 或更高版本
• Docker（可选，用于容器化运行）
• GitHub Actions、GitLab CI 或其他CI/CD平台

安装与配置

安装SAST工具

以Semgrep为例：

pip install semgrep

配置SAST规则

创建.semgrep目录并添加自定义规则：

# .semgrep/custom-rules.yaml
rules:
  - id: sql-injection
    pattern: |
      $QUERY + $USER_INPUT
    message: "检测到可能的SQL注入漏洞"
    languages: [python, javascript]
    severity: ERROR

集成到CI/CD

在GitHub Actions中配置：

name: SAST扫描
on: [push]
jobs:
  sast:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: 运行Semgrep
        run: |
          pip install semgrep
          semgrep --config=p/ci --error

使用示例

1. 手动扫描：

   semgrep --config=auto .
   

2. 生成报告：

   semgrep --json --output=report.json .
   

常见问题

Q: 如何处理误报？

A: 可以通过添加注释的方式忽略特定规则：

# semgrep-ignore: no-sql-injection
query = "SELECT * FROM users WHERE id = " + user_input

Q: 如何自定义规则？

A: 参考Semgrep规则文档编写自定义YAML规则。

最佳实践

• 在每次代码提交时运行SAST扫描
• 定期更新规则库以应对新漏洞
• 将SAST结果与工单系统集成
• 对关键错误设置自动阻断流水线

许可

MIT License