OWASP Dependency Check Pipe 镜像文档

概述和主要用途

OWASP Dependency Check Pipe 是一个Docker镜像，用于在Bitbucket Pipelines中集成OWASP依赖检查功能。该镜像基于jeremylong/DependencyCheck项目，能够扫描项目依赖项中的已知安全漏洞，并可根据CVSS（通用漏洞评分系统）评分控制构建流程的成功或失败，帮助开发团队在CI/CD流程中及早发现并处理依赖项安全问题。

核心功能和特性

• Bitbucket Pipelines集成：直接作为管道步骤集成到Bitbucket CI/CD流程中
• 自定义扫描路径：支持指定相对路径进行依赖扫描，默认扫描仓库根目录
• CVSS评分控制：可设置CVSS失败级别，当检测到等于或高于该级别的漏洞时使构建失败
• 漏洞抑制机制：支持通过抑制文件排除特定漏洞的检测结果
• 灵活配置选项：支持禁用OSS Index分析、配置NVD API密钥、自定义输出路径等
• 数据库更新控制：可选择是否更新漏洞数据库
• 额外参数支持：允许传递额外参数给DependencyCheck工具

使用场景和适用范围

该镜像适用于使用Bitbucket进行代码管理并采用CI/CD流程的开发团队，特别适合以下场景：

• 需要在持续集成过程中自动化检查依赖项安全漏洞的项目
• 使用PHP（基于composer.lock）、Node.js（基于package-lock.json或yarn.lock）等包管理器的项目
• 希望根据漏洞严重程度（CVSS评分）控制构建流程的团队
• 需要自定义漏洞检测规则（如使用抑制文件）的安全合规需求

注意：对于npm/yarn项目，应将包含package-lock.json或yarn.lock文件以及node_modules目录的路径指定为SCAN_PATH。

使用方法和配置说明

YAML定义

在bitbucket-pipelines.yml文件中添加以下步骤配置：

yaml
      - step:
          name: "代码标准检查"
          script:
            - pipe: docker://aligent/owasp-dependency-check-pipe
              variables:
                SCAN_PATH: "./composer.lock"
                CVSS_FAIL_LEVEL: "1"

配置变量

开发与本地测试

本地运行命令

可使用以下命令在本地调用该管道，需确保项目根目录下有可写的test-results目录：

bash
docker run --rm -e OUTPUT_PATH="/tmp/test-results/" -e CVSS_FAIL_LEVEL=1 -e SCAN_PATH=./composer.lock -v $PWD:/build --workdir=/build aligent/owasp-dependency-check-pipe

自动构建

提交到main分支的代码将触发自动构建流程，生成新的Docker镜像。