SonarQube Stackhawk DAST 演示仓库

Source: Dev.to

设置并运行应用程序

这是一款专为培训目的而设计的、带有 Thymeleaf 的有意漏洞 Java Spring Boot 应用程序。

# 在应用程序根目录下执行
mvn spring-boot:run

应用程序会在启动时填充数据；请等待控制台出现 READY 后再继续。
随后即可通过以下地址访问：http://localhost:8081

默认用户

使用 StackHawk 进行 DAST 扫描

export SARIF_ARTIFACT=true
hawk scan

扫描会生成 stackhawk.sarif 文件，稍后可将其导入 SonarQube。

将 SARIF 报告添加到 SonarQube 扫描中

# 获取当前分支名称
CURRENT_BRANCH=$(git branch --show-current)

# 验证是否成功获取分支名称
if [ -z "$CURRENT_BRANCH" ]; then
    echo "Error: Could not determine the current Git branch."
    exit 1
fi

mvn clean verify sonar:sonar \
  -Dsonar.projectKey=e-corp-demo_sonarqube-stackhawk-dast-demo_31dfab10-94aa-4a9b-a894-77cabdab902a \
  -Dsonar.projectName='sonarqube-stackhawk-dast-demo' \
  -Dsonar.host.url=https://mathiasconradt.ngrok.io \
  -Dsonar.sarifReportPaths=stackhawk.sarif \
  -Dsonar.branch.name=$CURRENT_BRANCH

StackHawk 的 DAST 发现结果会出现在 SonarQube 的 Issues（问题）页面中，并带有 STACKHAWK 标签。