1. 前置准备：Jenkins基础安全加固
在Debian上实现安全漏洞扫描前，需先确保Jenkins环境本身的安全性，降低扫描过程中的二次风险：
apt update && apt upgrade更新Jenkins至最新稳定版，同时升级所有插件（尤其是安全类插件），修补已知漏洞。2. 集成静态代码安全扫描工具（以SonarQube为例）
静态代码扫描可检测源代码中的SQL注入、XSS、硬编码密码等漏洞，适用于Java、Python等项目：
http://sonarqube-server:9000），并填写认证令牌（需提前在SonarQube中创建）。pipeline {
agent any
stages {
stage('Code Scan') {
steps {
withSonarQubeEnv('SonarQube-Server') { // 对应配置的服务器名称
sh 'mvn sonar:sonar' // Maven项目使用mvn命令，Gradle项目替换为gradle sonarqube
}
}
}
}
post {
always {
// 可选：将扫描结果归档
archiveArtifacts artifacts: 'target/sonar/report-task.txt'
}
}
}
3. 集成依赖漏洞扫描工具（以OWASP Dependency-Check为例）
依赖漏洞扫描可检测项目依赖的第三方库（如Spring、jQuery）中的已知漏洞（CVE），适用于Maven、Gradle等项目：
pipeline {
agent any
stages {
stage('Dependency Scan') {
steps {
dependencyCheck additionalArguments: """
--scan ${WORKSPACE}/src/main/resources/lib/*
--format ALL
--out ${WORKSPACE}/dependency-report
""", odcInstallation: 'OWASP_DC_LATEST' // 需提前在“Manage Jenkins > Global Tool Configuration”中配置ODC工具
}
}
}
post {
always {
// 发布报告
recordIssues(
tools: [dependencyCheck(pattern: '**/dependency-check-report.xml')],
qualityGates: [[threshold: 1, type: 'TOTAL', unstable: true]] // 若存在1个及以上漏洞，构建不稳定
)
// 归档报告
archiveArtifacts artifacts: 'dependency-report/**'
}
}
}
dependency-report.html），展示漏洞的严重程度、受影响组件及修复建议（如升级至安全版本）。4. 集成容器镜像安全扫描工具（以Trivy为例，适用于Debian环境）
容器镜像是Debian上常见的部署载体，Trivy是一款轻量级开源扫描工具，可检测镜像中的操作系统漏洞、依赖漏洞及配置问题：
sudo apt-get install -y wget apt-transport-https gnupg lsb-release
wget -qO - https://aquasecurity.github.io/trivy-repo/deb/public.key | sudo apt-key add -
echo deb https://aquasecurity.github.io/trivy-repo/deb $(lsb_release -sc) main | sudo tee -a /etc/apt/sources.list.d/trivy.list
sudo apt-get update
sudo apt-get install -y trivy
pipeline {
agent any
stages {
stage('Container Scan') {
steps {
script {
// 扫描镜像（以my-app:latest为例），仅报告高危/严重漏洞
def scanResult = sh(script: "trivy image --exit-code 1 --severity CRITICAL,HIGH my-app:latest", returnStatus: true)
if (scanResult != 0) {
error "Container scan failed: critical/high vulnerabilities found!"
}
// 生成HTML报告（可选）
sh "trivy image --format html --output trivy-report.html my-app:latest"
archiveArtifacts artifacts: 'trivy-report.html'
}
}
}
}
post {
failure {
// 扫描失败时发送邮件通知
emailext subject: 'Container Scan Failed', body: '发现高危/严重漏洞，请检查构建日志和报告。', to: 'devops-team@example.com'
}
}
}
trivy --download-db-only命令定期更新漏洞数据库（如每天凌晨2点），确保扫描结果的准确性；若扫描到漏洞，可结合Jenkins的“Retry”功能自动重试，或触发工单系统通知安全团队修复。5. 定期审计与监控
