ZAP 扫描的可用参数

在应用程序存储库中的某个位置 (例如，在 scripts 目录中) 创建文件 trigger_zap_scans。

通过将这些行添加到 trigger_zap_scans 来设置相应参数的值，如下所示- set_env <parameter name> <value>。有关参考实施的更多信息，请参阅 hello-compliance-app。

您可以设置和定制以下参数，以配置 ZAP 扫描来对正在运行的应用程序运行渗透测试。

配置 ZAP API 扫描

在应用程序存储库中，必须至少存在一个 json 格式的 API 定义文件。 此 API 定义文件需要是有效的 swagger 或 openapi 定义。 这些文件可以存在于应用程序存储库中的任何位置，例如，definitions 目录中。 为清楚起见，这些文件如下所示: definitions1.json，definitions2.json 等。

配置 ZAP API 扫描需要更多参数。 可以通过将以下行添加到 trigger_zap_scans 来设置这些参数，如下所示- set_env <parameter name> <value>。

在应用程序存储库中的某个位置 (例如，在 scripts/zap-custom-scripts 目录中) 创建文件 custom-api-script。 此文件也可以以不同方式命名，并针对 zap-api-custom-script 参数设置此文件的路径。

使用文件 custom-api-script 来修改进入 ZAP 扫描程序的请求。 可在请求有效内容中使用的参数如下所示:

对于诸如凭证之类的敏感信息，您必须从保险库文件或私钥库中读取这些值。

配置 ZAP UI 扫描

与配置 ZAP API 扫描类似，在应用程序存储库中的某个位置 (例如，在 scripts 目录中) 创建或更新文件 trigger_zap_scans。

通过将这些行添加到 trigger_zap_scans 来设置相应参数的值，如下所示- set_env <parameter name> <value>。有关参考实施的更多信息，请参阅 hello-compliance-app。

将 zap-ui-scan 参数设置为 true，以便 ZAP UI 扫描运行。

配置 ZAP UI 扫描所需的参数如下所示。

在应用程序存储库中的 scripts/zap 目录内创建文件夹 uiscripts。 还请针对 trigger_zap_scans 文件中的 zap-ui-script-directory 设置此文件夹路径。 此文件夹也可以在其他任何位置创建。 应针对 zap-ui-script-directory 调整路径。

在 uiscripts 目录中创建文件 run.sh。run.sh 驱动 UI 测试。 我们可以配置基于量角器的测试或任何其他合适的框架。

在 uiscripts 目录中创建文件 export.sh。 此文件包含测试框架要使用的所有不同的环境变量。 通过添加 export <VARIABLE_NAME>=<VALUE> 来设置这些环境值。

要保存测试框架的任何配置信息，请在 uiscripts 目录中创建 conf 文件夹以存放测试框架的配置信息。

有关使用量角器作为测试框架的参考实现，请参阅 hello-compliance-app。

管理 ZAP 扫描结果

根据参数 opt-in-dynamic-api-scan 和 opt-in-dynamic-ui-scan 的值，我们可以选择选择性地运行 API 扫描和/或 UI 扫描。

在 trigger_zap_scans 文件中，我们可以根据选择性加入参数触发个别扫描，如下所示。

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

COMMONS_PATH 是指用于存放构建脚本和运行属于 DevSecOps 管道的各种工具的脚本的位置。 有关更多信息，请参阅 公共脚本。

您可以通过根据是运行 API 扫描还是 UI 扫描来设置退出代码来计算 ZAP 扫描是否成功。 还会报告发现的任何漏洞。 可以通过点击变量 api-scan-result 和 ui-scan-result 来进行检查。

这些参数可以采用的可能值为 success 或 failure，缺省值为 notRun。

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

可以在 此存储库中的 scripts/zap 目录内的 trigger_zap_scans 文件中找到样本实现。

为 CC 管道配置 ZAP 扫描

下表列出了在 CC 管道 中运行 ZAP 扫描所需的其他参数。

配置 Zap UI 扫描以使用定制 UI 测试图像而不压缩 UI 测试

下表列出了配置 ZAP UI 扫描以使用定制 UI 测试图像所需的其他参数。

此定制 UI 扫描步骤是使用用户的定制 UI Docker 映像来测试 zap UI 扫描，而不是将 Docker 映像信息放入 zip 文件中 (这是缺省情况) 要配置 ZAP UI 扫描以使用定制 UI 测试图像，需要设置 zap-custom-ui-image 环境变量。