将外部安全扫描器集成到您的 DevSecOps 工作流程中
内容提要
GitLab 的 AI 驱动 DevSecOps 平台提供安全扫描器和软件安全的全面可见性。它允许运行扫描、查看结果和显示漏洞。可以集成外部扫描器，并在合并请求小部件中查看扫描结果。一个脚本可以将 Snyk 扫描结果转换为 GitLab JSON 输出。SARIF 转换器将 SARIF 文件转换为可摄取的报告。SARIF 结果可用于查看 SAST 发现。GitLab Ultimate 提供一个完整的 DevSecOps 平台，用于合并外部扫描器并将安全性左移。
延伸解读
外部扫描器集成的关键：产物命名与格式转换
文章强调，无论使用内置还是外部扫描器，只要安全任务成功并将产物命名为 GitLab 要求的格式（如 gl-dependency-scanning-report.json），扫描结果就能在合并请求小部件中显示。对于 Snyk 等外部工具，需通过自定义脚本或 SARIF 转换器将输出转换为 GitLab 可摄取的 JSON。这降低了集成门槛，但要求开发者理解产物命名规则和转换逻辑。
SARIF 转换器：简化多扫描器统一管理的利器
SARIF 作为静态分析工具的通用输出格式，让不同扫描器的结果得以标准化。GitLab 提供的 SARIF 转换器支持包括 Snyk 在内的多种扫描器，并能将 SARIF 文件转换为 SAST 或代码质量报告。这避免了为每个工具编写定制脚本的麻烦，实现了可重复、可扩展的应用安全流程，尤其适合需要整合多种安全工具的企业。
从合并请求到漏洞报告：安全左移的落地路径
文章展示了安全扫描结果如何直接呈现在合并请求小部件中，并随每次提交更新。这使开发者能在代码审查阶段即时发现漏洞，而非等到生产环境。此外，结果还会汇总到默认分支的漏洞报告，便于后续分类处理。这种设计将安全测试嵌入开发工作流，真正实现了左移，但需要 GitLab Ultimate 版本支持。
Q&A
如何在 GitLab 中集成外部安全扫描器？
可以通过在管道中运行外部扫描器的作业来集成外部安全扫描器，GitLab 允许灵活的集成选项。
GitLab 的 SARIF 转换器有什么用？
SARIF 转换器可以将 SARIF 文件转换为可摄取的报告，支持多种扫描器的输出格式。
如何查看合并请求中的安全扫描结果？
安全扫描结果可以直接在合并请求小部件中查看，并在每次提交时更新。
GitLab Ultimate 提供哪些 DevSecOps 功能？
GitLab Ultimate 提供完整的 DevSecOps 平台，支持内置和外部扫描器的集成，帮助开发者在生产前修复漏洞。
如何将 Snyk 扫描结果转换为 GitLab JSON 输出？
可以通过脚本将 Snyk 扫描结果转换为 GitLab JSON 输出，确保结果可以在合并请求中显示。
什么是静态分析工具的 SARIF 文件格式？
SARIF 是静态分析工具输出的文件格式，提供统一的输出格式，便于应用安全的管理和分析。
