## 前言

"安全左移"（Shift Left Security）是 DevSecOps 的核心理念——把安全检查从生产环境移到 CI 阶段，问题越早发现修复成本越低。本篇讲清楚 SAST、DAST、依赖扫描、容器扫描四种安全扫描的原理和 GitLab CI 集成方式。

---

## 一、四种安全扫描对比

| 类型 | 全称 | 扫描对象 | 扫描阶段 | 是否需要运行 |
|------|------|---------|---------|-------------|
| SAST | Static Application Security Testing | 源代码 | 编译后 | 否 |
| DAST | Dynamic Application Security Testing | 运行中的应用 | 部署后 | 是 |
| 依赖扫描 | Dependency Scanning | 第三方依赖 | 构建时 | 否 |
| 容器扫描 | Container Scanning | Docker 镜像 | 构建后 | 否 |

```
开发流程中的安全检查点:

代码提交 → SAST扫描(源码) → 依赖扫描(依赖) → 构建镜像 → 容器扫描(镜像) → 部署 → DAST扫描(运行时)
              ↑                    ↑                ↑                    ↑          ↑
           左移最早              发现已知漏洞      镜像层漏洞           运行时漏洞
```

---

## 二、SAST：静态代码安全扫描

### 原理

不运行代码，通过分析源代码的模式来发现安全漏洞（SQL注入、XSS、硬编码密钥等）。

### GitLab 内置 SAST

```yaml
# .gitlab-ci.yml
include:
  - template: Security/SAST.gitlab-ci.yml

sast:
  stage: test
  variables:
    SEARCH_MAX_DEPTH: 10  # 扫描目录深度
    SAST_EXCLUDED_PATHS: "spec,test,tests,bin,node_modules"  # 排除目录
  rules:
    - if: $CI_PIPELINE_SOURCE == "merge_request_event"
    - if: $CI_COMMIT_BRANCH == "main"
```

### 自定义 SAST（SonarQube）

```yaml
sonar-sast:
  stage: test
  image: 
    name: sonarsource/sonar-scanner-cli:latest
    entrypoint: [""]
  variables:
    SONAR_PROJECT_KEY: "myapp"
    SONAR_SOURCES: "src"
  script:
    - |
      sonar-scanner \
        -Dsonar.projectKey=$SONAR_PROJECT_KEY \
        -Dsonar.projectName="My Application" \
        -Dsonar.sources=$SONAR_SOURCES \
        -Dsonar.host.url=$SONAR_HOST_URL \
        -Dsonar.login=$SONAR_TOKEN \
        -Dsonar.qualitygate.wait=true  # 等待质量门检查
  artifacts:
    reports:
      sast: gl-sast-report.json
  rules:
    - if: $CI_PIPELINE_SOURCE == "merge_request_event"
    - if: $CI_COMMIT_BRANCH == "main"
```

### SonarQube 质量门规则

在 SonarQube → Quality Gates 中配置：

```
质量门名称: CI Gate
条件:
  - Coverage on New Code < 70% → FAIL
  - Duplicated Lines on New Code > 3% → FAIL
  - Bugs Rating > 1 (A) on New Code → FAIL
  - Vulnerabilities Rating > 1 (A) on New Code → FAIL
  - Security Hotspots Reviewed < 100% → FAIL
```

> **培训要点**：`sonar.qualitygate.wait=true` 会让 CI 等待质量门检查结果。如果质量门不过，SonarQube 返回非零退出码，CI Job 自动失败。这是"安全门禁"的核心机制。

---

## 三、依赖扫描：第三方漏洞检测

### 原理

扫描项目的依赖清单（pom.xml、package.json、go.mod 等），对照已知漏洞数据库（CVE）检查是否有受影响的依赖。

### GitLab 内置依赖扫描

```yaml
include:
  - template: Security/Dependency-Scanning.gitlab-ci.yml

dependency_scanning:
  stage: test
  variables:
    DS_EXCLUDED_ANALYZERS: "gemnasium-maven"  # 排除特定分析器
    DS_EXCLUDED_PATHS: "vendor,third_party"  # 排除目录
  rules:
    - if: $CI_PIPELINE_SOURCE == "merge_request_event"
    - if: $CI_COMMIT_BRANCH == "main"
```

### Trivy 依赖扫描

```yaml
dependency-scan:
  stage: test
  image: aquasec/trivy:latest
  needs: [build]
  script:
    # 扫描 Maven 依赖
    - trivy fs --exit-code 1 --severity HIGH,CRITICAL ./target/
    
    # 或直接扫描 pom.xml
    - trivy maven --exit-code 1 --severity HIGH,CRITICAL pom.xml
  artifacts:
    reports:
      dependency_scanning: gl-dependency-scanning-report.json
  rules:
    - if: $CI_PIPELINE_SOURCE == "merge_request_event"
    - if: $CI_COMMIT_BRANCH == "main"
```

### 自动修复依赖漏洞（Renovate）

```yaml
# 在仓库中添加 .renovaterc.json
{
  "extends": ["config:base"],
  "schedule": ["before 6am on Monday"],  // 每周一早上6点前检查
  "labels": ["dependencies"],
  "vulnerabilityAlerts": {
    "enabled": true,
    "labels": ["security"]
  },
  "packageRules": [
    {
      "matchUpdateTypes": ["patch"],
      "automerge": true  // 补丁版本自动合并
    },
    {
      "matchUpdateTypes": ["major"],
      "automerge": false  // 大版本手动审查
    }
  ]
}
```

> **踩坑提示**：不要把所有依赖升级都设为自动合并。Patch 级别（如 1.2.3→1.2.4）可以自动，Minor（1.2→1.3）和 Major（1→2）必须手动测试。否则一次自动升级可能打破应用。

---

## 四、容器镜像扫描

### Trivy 镜像扫描

```yaml
container-scan:
  stage: scan
  image: aquasec/trivy:latest
  needs: [package]
  services:
    - docker:24-dind
  variables:
    IMAGE: "$REGISTRY/myapp:$CI_COMMIT_SHORT_SHA"
    TRIVY_EXIT_CODE: "1"
    TRIVY_SEVERITY: "HIGH,CRITICAL"
  script:
    # 拉取镜像
    - docker pull $IMAGE
    
    # 扫描漏洞
    - trivy image --exit-code $TRIVY_EXIT_CODE --severity $TRIVY_SEVERITY \
        --format json --output trivy-image-report.json \
        --ignorefile .trivyignore \
        $IMAGE
    
    # 扫描配置文件（Dockerfile 最佳实践检查）
    - trivy config --severity HIGH,CRITICAL --format json --output trivy-config-report.json .
  artifacts:
    paths:
      - trivy-image-report.json
      - trivy-config-report.json
    reports:
      container_scanning: trivy-image-report.json
  rules:
    - if: $CI_COMMIT_BRANCH == "main"
```

### .trivyignore 文件

```bash
# .trivyignore — 忽略已知且暂不修复的漏洞
# 格式: CVE-ID
CVE-2024-12345  # 暂不修复，需等待上游修复
CVE-2024-67890  # 已评估，风险可接受
```

### Grype 替代方案

```yaml
container-scan-grype:
  stage: scan
  image: anchore/grype:latest
  needs: [package]
  script:
    - grype $IMAGE --fail-on high --output json > grype-report.json
  artifacts:
    paths: [grype-report.json]
```

---

## 五、DAST：动态安全扫描

### 原理

在应用运行时对其进行攻击测试——模拟 SQL注入、XSS、CSRF 等攻击。

### GitLab 内置 DAST

```yaml
include:
  - template: Security/DAST.gitlab-ci.yml

dast:
  stage: dast
  needs: [deploy-test]
  variables:
    DAST_WEBSITE: "https://test.myapp.com"
    DAST_AUTH_URL: "https://test.myapp.com/login"
    DAST_USERNAME: "testuser"
    DAST_PASSWORD: "$DAST_TEST_PASSWORD"
    DAST_BROWSER: "chrome"  # 使用 Chrome 浏览器扫描
    DAST_FULL_SCAN_ENABLED: "true"  # 完整扫描（慢但全面）
  rules:
    - if: $CI_COMMIT_BRANCH == "main"
```

### OWASP ZAP 集成

```yaml
dast-zap:
  stage: dast
  needs: [deploy-test]
  image: 
    name: owasp/zap2docker-stable
    entrypoint: [""]
  variables:
    TARGET_URL: "https://test.myapp.com"
  script:
    # 基线扫描（快速）
    - zap-baseline.py -t $TARGET_URL -c zap-baseline.conf -J zap-report.json
    
    # 完整扫描（慢但全面，适合定期执行）
    # - zap-full-scan.py -t $TARGET_URL -c zap-baseline.conf -J zap-report.json
  artifacts:
    paths: [zap-report.json]
    reports:
      dast: zap-report.json
  rules:
    - if: $CI_COMMIT_BRANCH == "main"
  allow_failure: true  # DAST 扫描不阻塞流水线
```

### ZAP 基线配置

```ini
# zap-baseline.conf
# 忽略的规则（误报）
zap.excludeRules = 10010,10015,10020

# 阈值
zap.rulesToFail = 40003,40012,40014  # 这些规则触发则失败
```

---

## 六、安全报告整合

### GitLab Security Dashboard

所有安全扫描的产物报告用 `reports` 字段提交，GitLab 会自动整合到 Security Dashboard：

```yaml
artifacts:
  reports:
    sast: gl-sast-report.json
    dependency_scanning: gl-dependency-scanning-report.json
    container_scanning: trivy-image-report.json
    dast: zap-report.json
```

在 GitLab → Security & Compliance → Security Dashboard 中可以看到：
- 按严重程度分类的漏洞列表
- 按时间趋势的漏洞数量变化
- 每个 MR 的安全差异对比

### 安全门禁

```yaml
# 安全质量门：HIGH/CRITICAL 漏洞阻止合并
security-gate:
  stage: scan
  needs: [sast, dependency-scan, container-scan]
  script:
    # 统计 HIGH 和 CRITICAL 漏洞数
    - |
      CRITICAL_COUNT=0
      HIGH_COUNT=0
      
      for report in gl-sast-report.json gl-dependency-scanning-report.json trivy-image-report.json; do
        if [ -f "$report" ]; then
          CRITICAL=$(jq '[.vulnerabilities[]? | select(.severity == "Critical")] | length' $report 2>/dev/null || echo 0)
          HIGH=$(jq '[.vulnerabilities[]? | select(.severity == "High")] | length' $report 2>/dev/null || echo 0)
          CRITICAL_COUNT=$((CRITICAL_COUNT + CRITICAL))
          HIGH_COUNT=$((HIGH_COUNT + HIGH))
        fi
      done
      
      echo "Critical vulnerabilities: $CRITICAL_COUNT"
      echo "High vulnerabilities: $HIGH_COUNT"
      
      if [ $CRITICAL_COUNT -gt 0 ]; then
        echo "BLOCKED: $CRITICAL_COUNT critical vulnerabilities found"
        exit 1
      fi
  rules:
    - if: $CI_PIPELINE_SOURCE == "merge_request_event"
```

---

## 七、本篇要点回顾

1. 四种扫描：SAST 扫源码、依赖扫描扫依赖、容器扫描扫镜像、DAST 扫运行时
2. SAST 用 GitLab 内置或 SonarQube，配质量门阻断有漏洞的代码
3. 依赖扫描对照 CVE 数据库，Patch 版本可自动升级，Major 版本手动
4. 容器扫描用 Trivy，`.trivyignore` 忽略已知风险
5. DAST 在部署后扫描，用 `allow_failure: true` 不阻塞流水线
6. 所有报告用 `reports` 字段提交，GitLab 自动整合到 Security Dashboard

**下一篇预告**：GitLab 篇结束，接下来进入 GitHub Actions 篇：《入门：Workflow 语法与自托管 Runner》。

"安全左移"（Shift Left Security）是 DevSecOps 的核心理念——把安全检查从生产环境移到 CI 阶段，问题越早发现修复成本越低。本篇讲清楚 SAST、DAST、依赖扫描、容器扫描四种安全扫描的原理和 GitLab CI 集成方式。

【CI/CD·GitLab篇】安全扫描集成：SAST、DAST 与依赖扫描配置

研发部经理

运维

安全

开发工具

本文详解DevSecOps安全左移实践，对比SAST、DAST、依赖扫描、容器扫描四种技术原理及GitLab CI集成方案，涵盖SonarQube质量门、Trivy漏洞检测、ZAP动态测试及安全报告整合，助你构建CI阶段自动化安全防线。

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

【CI/CD·GitLab篇】安全扫描集成：SAST、DAST 与依赖扫描配置-腾讯云开发者社区-腾讯云

【CI/CD·GitLab篇】安全扫描集成：SAST、DAST 与依赖扫描配置

【CI/CD·GitLab篇】安全扫描集成：SAST、DAST 与依赖扫描配置

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐