fortifydocker/fortify-ci-tools Docker 镜像 - 轩辕镜像

Fortify CI Tools 镜像文档

镜像概述

Fortify CI Tools镜像是Fortify Application Security解决方案的一部分，主要用于演示和测试目的，便于将Fortify应用安全测试集成到使用可配置运行器执行CI/CD工作流的DevSecOps管道中。该镜像专注于Java应用扫描，缺乏其他语言的构建工具。对于生产环境，建议使用fcli与各类Fortify产品交互，并设置ScanCentral Client等工具，以利用现有构建环境打包源代码，减少错误警告并提升扫描结果质量。

核心功能和特性

• DevSecOps集成：支持将应用安全测试无缝集成到CI/CD管道，赋能DevSecOps实践
• 多工具集成：包含Fortify CLI、FoD Uploader、ScanCentral Client等核心安全测试工具
• 多JDK支持：提供JDK 8、11、17、21版本变体，满足不同Java应用需求
• 简化扫描流程：通过sast-scan.sh脚本整合各类Fortify CLI工具，支持本地和FoD SAST扫描
• 灵活版本控制：采用语义化版本标签，支持选择特定主版本、次版本或补丁版本

使用场景和适用范围

• 适用场景：
  • DevSecOps管道中的应用安全测试演示
  • Java应用的安全扫描测试
  • CI/CD工作流中安全测试环节的快速集成验证
• 适用范围：
  • 开发和测试环境，不建议用于生产环境
  • 主要支持Java应用，其他语言需额外构建工具
  • 需要与可配置CI/CD运行器配合使用

可用标签

• 1.x.x版本：仅使用完整版本号作为标签（如1.2.3）
• 2.0.0及以上版本：
  • 标签格式：<major>.<minor>.<patch>（如2.1.0）、<major>.<minor>（如2.1）、<major>（如2）
  • 支持选择主版本或次版本范围内的最新补丁版本
• 2.2.0及以上版本：提供多JDK版本变体，标签后缀为：
  • -jdk-8、-jdk-11、-jdk-17、-jdk-21（如2.2.0-jdk-11）
  • 注意：部分旧版本可能不提供-jdk-17和/或-jdk-21变体
• 默认JDK版本：
  • 2.x.x标签未指定JDK版本时，默认对应JDK 8
  • 3.x及以上标签未指定JDK版本时，默认对应JDK 11

最新镜像内容

• 基础镜像：Ubuntu 24.04
• JDK版本：Eclipse Temurin JDK 8、11、17或21（取决于标签）
• 包含工具：
  • Fortify CLI 3.13.1
  • Fortify on Demand Uploader 5.4.3
  • Fortify ScanCentral Client 25.2.0
  • FortifyVulnerabilityExporter 2.1.0
  • Maven 3.9.11
• 脚本：sast-scan.sh - 整合各类Fortify CLI工具，支持本地和FoD SAST扫描（主要用于内部，可能变更或移除）

主要Fortify命令

• fcli [options]：Fortify CLI工具，用于与Fortify产品交互
• scancentral [options]：ScanCentral Client，用于启动和管理安全扫描
• FoDUpload [options]：Fortify on Demand上传工具，用于上传扫描结果至FoD
• FortifyVulnerabilityExporter [options]：漏洞导出工具，用于导出扫描发现的漏洞

使用方法

基本使用示例

运行容器并查看工具版本

bash
docker run --rm fortify/ci-tools:latest fcli --version
docker run --rm fortify/ci-tools:latest scancentral --version

扫描Java应用（使用ScanCentral）

bash
# 挂载当前目录作为应用代码目录，执行扫描
docker run --rm -v $(pwd):/app fortify/ci-tools:latest scancentral scan -d /app -o /app/scan结果

使用sast-scan.sh脚本（演示用）

bash
# 挂载应用目录并执行扫描脚本
docker run --rm -v $(pwd):/app fortify/ci-tools:latest sast-scan.sh -d /app

环境变量配置

扫描过程中可能需要配置环境变量（如认证信息），可通过-e参数传递：

bash
docker run --rm -v $(pwd):/app \
  -e FOD_API_URL=[***] \
  -e FOD_USER=your_username \
  -e FOD_PASSWORD=your_password \
  fortify/ci-tools:latest FoDUpload -applicationId 123 -releaseId 456 -d /app

版本历史

8.1.0 (2025-11-19)

• 将fcli更新至3.13.1
• 将ScanCentral Client更新至25.4.0
• 应用最新Java补丁

8.0.0 (2025-07-25)

• 移除Gradle（大多数项目使用Gradle Wrapper）
• 将fcli更新至3.8.1
• 将FoDUploader更新至5.4.3
• 将Maven更新至3.9.11
• 应用最新Java补丁

7.1.0 (2025-06-14)

• 将fcli更新至3.6.0
• 将ScanCentral Client更新至25.2.0
• 将Gradle更新至8.14.2
• 将Maven更新至3.9.10

7.0.0 (2025-05-01)

• 将fcli更新至3.4.1
• 将Gradle更新至8.14
• 将Java更新至最新补丁版本

6.2.0 (2025-01-30)

• 将fcli更新至2.12.2
• 将ScanCentral Client更新至24.4.1

6.1.0 (2024-11-01)

• 将fcli更新至2.9.0
• 将ScanCentral Client更新至24.4.0
• 将Gradle更新至8.10

6.0.0 (2024-10-30)

• 将Ubuntu基础镜像更新至24.04

5.7.0 (2024-10-29)

• 将fcli更新至2.8.0
• 将Java更新至最新补丁版本

5.6.0 (2024-10-14)

• 将fcli更新至2.7.1
• 将Gradle更新至8.6
• 将Maven更新至3.9.9
• 将Java更新至最新补丁版本

5.5.0 (2024-07-05)

• 将FortifyVulnerabilityExporter更新至2.1.0

5.4.1 (2024-05-24)

• 为jdk-11镜像添加Java 17（ScanCentral Client 24.2+所需）

5.4.0 (2024-05-24)

• 将fcli更新至2.4.0
• 将ScanCentral Client更新至24.2.0
• 修复sast-scan.sh中多余引号导致FoD认证错误的问题（FoDUploader 5.4.1）
• 应用最新可用OS补丁

5.3.1 (2024-05-14)

• JDK8镜像修复：将ScanCentral Client使用的Java安装移至其他目录，避免移除/升级/降级ScanCentral Client时删除该Java实例

5.3.0 (2024-05-07)

• 添加JDK 21镜像
• 应用最新可用OS补丁

5.2.1 (2024-04-29)

• 将FoDUploader更新至5.4.1
• 将JDK 8/11/17更新至最新补丁版本
• 应用最新可用OS补丁

5.2.0 (2024-03-25)

• 将fcli更新至2.3.0
• 将FortifyVulnerabilityExporter更新至2.0.5
• 将JDK 8/11/17更新至最新补丁版本
• 应用最新可用OS补丁

5.1.0 (2024-02-05)

• 将fcli更新至2.2.0
• 将ScanCentral Client更新至23.2.1
• 将Maven更新至3.9.6

5.0.0 (2023-10-25)

• 将fcli更新至2.0.0（fcli命令结构变更可能需要更新使用fcli的管道/自动化脚本）
• 将Maven更新至3.9.5
• 将Gradle更新至8.3（注意：此版本未被镜像中包含的ScanCentral Client官方支持）

4.0.2 (2023-10-12)

• 将fcli更新至1.3.2
• 将FortifyVulnerabilityExporter更新至2.0.4

4.0.1 (2023-09-20)

• 将fcli更新至1.3.1
• 将FortifyVulnerabilityExporter更新至2.0.3
• 将ScanCentral Client更新至23.1.0

4.0.0 (2023-07-06)

• 重大内部重构（如有问题请联系Fortify支持）
• 将jdk-8镜像中的ScanCentral Client更新至22.2.1，使所有镜像变体使用相同版本
• 添加jdk-17镜像

3.18.2 (2023-04-07)

• 将fcli更新至1.2.5
• 将FortifyVulnerabilityExporter更新至2.0.2

3.18.1 (2023-04-07)

• 调整apt-get语句顺序以应用更多更新

3.18.0 (2023-04-07)

• 将fcli更新至1.2.4
• 将FortifyVulnerabilityExporter更新至2.0.1

3.17.0 (2023-04-07)

• 将fcli更新至1.2.3
• 将Gradle更新至8.0.2（注意：此版本未被镜像中包含的ScanCentral Client官方支持）
• 将Maven更新至3.8.8

3.16.1 (2023-03-06)

• 将Maven降级至3.8.7以修复与ScanCentral Client的潜在不兼容性

3.16.0 (2023-03-05)

• 将fcli更新至1.2.2
• 将Gradle更新至7.6.1
• 将ScanCentral Client更新至22.2.1

3.15.1 (2023-02-27)

• 在基础镜像上应用（安全）更新
• 遵循Docker最佳实践，在单个RUN指令中执行apt-get update和install（调整"install unzip"指令位置，保留unzip供用户使用）

3.15.0 (2023-02-09)

• 将fcli更新至1.2.0
• 将FortifyVulnerabilityExporter更新至2.0.0
• 将Maven更新至3.9.0

3.14.0 (2023-01-26)

• 将fcli更新至1.1.0

3.13.0 (2023-01-02)

• 将fcli更新至1.0.3
• 将Gradle更新至7.6
• 将Maven更新至3.8.7
• 将ScanCentral Client更新至22.2.0

3.12.0 (2022-11-29)

• 添加fcli v1.0.0

3.11.0 (2022-10-28)

• 将ScanCentral Client更新至22.1.2

3.10.0 (2022-10-21)

• 将FortifyVulnerabilityExporter更新至1.8.0

3.9.0 (2022-09-05)

• 将FortifyVulnerabilityExporter更新至1.7.0

3.8.0 (2022-08-12)

• 将FoDUploader更新至5.4.0
• 将FortifyVulnerabilityExporter更新至1.6.0
• 将Gradle更新至7.5.1

3.7.0 (2022-06-14)

• 将FoDUploader更新至5.3.1
• 将Maven更新至3.8.6
• 将ScanCentral Client更新至22.1.0

3.6.0 (2022-04-11)

• 将FortifyVulnerabilityExporter更新至1.5.5
• 将Gradle更新至7.4.2
• 将Maven更新至3.8.5

3.5.0 (2022-02-07)

• 添加SCANCENTRAL_AUTH_TOKEN选项
• 将FortifyVulnerabilityExporter更新至1.5.3和1.5.4
• 将Gradle更新至7.3.3
• 将ScanCentral Client更新至21.1.4（Java 8镜像）和21.2.3（Java 11镜像）

3.4.0 (2021-12-20)

• 将FortifyToolsInstaller更新至2.5.0
• 将ScanCentral Client更新至21.1.3（Java 8镜像）和21.2.2（Java 11镜像）

3.3.0 (2021-12-14)

• 将FoD Uploader更新至5.3.0
• 将FortifyToolsInstaller更新至2.1.0
• 将FortifyVulnerabilityExporter更新至1.5.1（更新log4j依赖）
• 将Gradle更新至7.3.1
• 将Maven更新至3.8.4
• 将ScanCentral Client更新至21.2.0（仅Java 11镜像）

3.2.9 (2021-10-04)

• 为fortify-ci-tools重新添加"latest"标签
• 将Maven更新至3.8.3以修复URL未找到错误

3.2.8 (2021-09-29)

• BitBucket Pipe仓库更新

3.2.7 (2021-09-28)

• BitBucket Pipe仓库更新
• 为FortifyToolsInstaller.sh添加sha256sum校验
• 使用FortifyToolsInstaller 2.1.0校验下载的Fortify工具sha256sum

3.2.2 - 3.2.6 (2021-09-23)

• BitBucket Pipe仓库更新

3.2.1 (2021-09-23)

• 复制操作错误修复

3.2.0 (2021-09-23)

• 自动发布BitBucket Pipe仓库
• 构建fortify-bitbucket-pipe镜像

3.1.1 (2021-09-21)

• sast-scan.sh修复与更新

3.1.0 (2021-09-21)

• 添加sast-scan.sh脚本

3.0.1 (2021-08-31)

• 重新构建以受益于基础镜像漏洞修复

3.0.0 (2021