PHP中的安全审计工具：集成SAST工具（如SonarQube）到CI/CD流程 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

PHP 安全审计：将 SonarQube 集成到 CI/CD 流程

大家好，今天我们来深入探讨 PHP 安全审计，以及如何将静态应用安全测试 (SAST) 工具，尤其是 SonarQube，无缝集成到我们的持续集成/持续交付 (CI/CD) 流程中。安全性绝非事后诸葛亮，而应该贯穿软件开发的整个生命周期。通过自动化安全审计，我们可以尽早发现并修复潜在的安全漏洞，从而降低风险、提升代码质量，并最终交付更安全可靠的应用程序。

1. 为什么需要 PHP 安全审计？

PHP 作为一种广泛使用的 Web 开发语言，在构建动态网站和应用程序方面发挥着重要作用。然而，它的流行也使其成为恶意攻击的常见目标。常见的 PHP 安全漏洞包括：

SQL 注入 (SQL Injection): 攻击者通过操纵用户输入，将恶意 SQL 代码注入到数据库查询中，从而窃取、修改或删除数据。
跨站脚本攻击 (XSS): 攻击者将恶意 JavaScript 代码注入到网页中，当其他用户访问该页面时，这些代码会在他们的浏览器中执行，从而窃取用户 cookie、会话信息或重定向用户到恶意网站。
跨站请求伪造 (CSRF): 攻击者伪造用户的请求，在用户不知情的情况下执行恶意操作，例如更改密码、发送消息或购买商品。
文件包含漏洞 (File Inclusion): 攻击者通过操纵文件路径，包含恶意文件，从而执行任意代码。
代码注入 (Code Injection): 攻击者通过操纵用户输入，将恶意 PHP 代码注入到服务器端，从而执行任意代码。
反序列化漏洞 (Unserialization Vulnerabilities): 攻击者通过构造恶意的序列化数据，利用 PHP 的 unserialize() 函数执行任意代码。

手动进行安全审计既耗时又容易出错。自动化安全审计工具可以帮助我们快速、准确地识别潜在的安全漏洞，并提供修复建议。

2. SAST 工具简介：SonarQube

静态应用安全测试 (SAST) 工具通过分析源代码来识别潜在的安全漏洞，而无需实际运行应用程序。 SonarQube 是一个开源的平台，用于持续检查代码质量。它支持多种编程语言，包括 PHP，并提供以下功能：

代码质量分析: 识别代码中的潜在错误、漏洞和不良实践。
安全漏洞检测: 检测常见的安全漏洞，例如 SQL 注入、XSS 和 CSRF。
代码覆盖率分析: 衡量单元测试的代码覆盖率。
代码重复检测: 识别重复的代码块，提高代码可维护性。
技术债务跟踪: 跟踪代码中的技术债务，并提供修复建议。

SonarQube 通过定义一系列规则来检测代码中的问题。这些规则基于行业最佳实践和安全标准，例如 OWASP Top Ten。

3. 将 SonarQube 集成到 CI/CD 流程

将 SonarQube 集成到 CI/CD 流程中可以实现自动化安全审计，确保每次代码提交都经过安全检查。以下是一个典型的集成流程：

代码提交: 开发人员将代码提交到代码仓库 (例如 Git)。
CI/CD 构建触发: 代码提交触发 CI/CD 构建流程 (例如 Jenkins, GitLab CI, GitHub Actions)。
代码拉取: CI/CD 工具从代码仓库拉取最新代码。
SonarQube 扫描: CI/CD 工具使用 SonarQube Scanner 扫描代码。
SonarQube 分析: SonarQube 服务器分析扫描结果，并生成报告。
结果反馈: SonarQube 将分析结果反馈给 CI/CD 工具。
构建状态: CI/CD 工具根据 SonarQube 的分析结果设置构建状态 (成功或失败)。
通知: CI/CD 工具通知开发人员构建状态和 SonarQube 报告。

4. 实施步骤：以 GitLab CI 为例

下面我们以 GitLab CI 为例，演示如何将 SonarQube 集成到 PHP 项目的 CI/CD 流程中。

4.1. 准备工作

安装和配置 SonarQube 服务器: 请参考 SonarQube 官方文档安装和配置 SonarQube 服务器。
安装 SonarQube Scanner: SonarQube Scanner 是一个命令行工具，用于扫描代码并将结果发送到 SonarQube 服务器。可以下载适合自己系统的 SonarQube Scanner 并解压，然后将其添加到系统环境变量 PATH 中。
创建 SonarQube 项目: 在 SonarQube 服务器上创建一个新的 PHP 项目，并获取项目密钥 (Project Key)。
配置 GitLab CI: 在 GitLab 项目中创建一个 .gitlab-ci.yml 文件。

4.2. 配置 .gitlab-ci.yml 文件

以下是一个 .gitlab-ci.yml 文件的示例：

stages:
  - build
  - test
  - sonar

variables:
  SONAR_HOST_URL: "http://your-sonarqube-server-url"  # 替换为你的 SonarQube 服务器 URL
  SONAR_TOKEN: "your-sonarqube-token" # 替换为你的 SonarQube Token, 用于认证
  SONAR_PROJECT_KEY: "your-php-project-key" # 替换为你的 SonarQube 项目密钥
  SONAR_PROJECT_NAME: "Your PHP Project Name" # 替换为你的 SonarQube 项目名称

build:
  stage: build
  image: php:7.4-cli
  script:
    - echo "Building the application..."
    - composer install --no-interaction --prefer-dist

test:
  stage: test
  image: php:7.4-cli
  script:
    - echo "Running unit tests..."
    - vendor/bin/phpunit

sonar:
  stage: sonar
  image: ubuntu:latest # 或者其他包含 java 和 sonar-scanner 的镜像
  before_script:
    - apt-get update -y
    - apt-get install -y openjdk-11-jdk # 安装 Java，SonarQube Scanner 需要 Java 环境
    - apt-get install -y wget unzip
    - wget https://binaries.sonarsource.com/Distribution/sonar-scanner-cli/sonar-scanner-cli-4.7.0.2747-linux.zip # 下载 SonarQube Scanner
    - unzip sonar-scanner-cli-4.7.0.2747-linux.zip
    - export SONAR_SCANNER_HOME=$(pwd)/sonar-scanner-4.7.0.2747-linux
    - export PATH=$PATH:$SONAR_SCANNER_HOME/bin
  script:
    - echo "Running SonarQube Scanner..."
    - sonar-scanner 
      -Dsonar.projectKey=$SONAR_PROJECT_KEY 
      -Dsonar.projectName="$SONAR_PROJECT_NAME" 
      -Dsonar.sources=. 
      -Dsonar.host.url=$SONAR_HOST_URL 
      -Dsonar.login=$SONAR_TOKEN 
      -Dsonar.php.coverage.reportPaths=coverage.xml # 如果有代码覆盖率报告
  allow_failure: true # 允许 SonarQube 扫描失败，不会中断 CI/CD 流程
  only:
    - merge_requests
    - main

代码解释：

stages: 定义 CI/CD 流程的阶段。
variables: 定义全局变量，例如 SonarQube 服务器 URL、项目密钥和项目名称。
build: 构建阶段，使用 php:7.4-cli 镜像，安装 Composer 依赖。
test: 测试阶段，使用 php:7.4-cli 镜像，运行单元测试。这里使用 phpunit 作为单元测试工具。
sonar: SonarQube 扫描阶段，使用 ubuntu:latest 镜像。
- before_script: 在运行扫描脚本之前执行的命令。
  - 安装 Java： SonarQube Scanner 需要 Java 运行环境。
  - 下载并解压 SonarQube Scanner。
  - 设置 SONAR_SCANNER_HOME 环境变量，并将其添加到 PATH 中。
- script: 运行 SonarQube Scanner 的命令。
  - -Dsonar.projectKey：指定 SonarQube 项目密钥。
  - -Dsonar.projectName：指定 SonarQube 项目名称。
  - -Dsonar.sources：指定要扫描的源代码目录，. 表示当前目录。
  - -Dsonar.host.url：指定 SonarQube 服务器 URL。
  - -Dsonar.login：指定 SonarQube 登录令牌。
  - -Dsonar.php.coverage.reportPaths：指定代码覆盖率报告的路径（可选）。
- allow_failure: true: 允许 SonarQube 扫描失败，不会中断 CI/CD 流程。这在早期阶段很有用，可以避免因少量问题而阻止合并请求。
- only: 指定哪些分支或事件触发此阶段。这里设置为 merge_requests 和 main，表示只有在合并请求和推送到 main 分支时才运行 SonarQube 扫描。

4.3. 配置 SonarQube 令牌

为了让 GitLab CI 能够访问 SonarQube 服务器，需要配置 SonarQube 令牌。

登录 SonarQube 服务器。
点击用户头像，选择 "My Account"。
在 "Security" 选项卡中，生成一个新的令牌。
将令牌添加到 GitLab CI 的环境变量中。在 GitLab 项目的 "Settings" -> "CI/CD" -> "Variables" 中，添加一个名为 SONAR_TOKEN 的变量，并将令牌作为值。确保勾选 "Mask variable" 选项，以保护令牌的安全性。

4.4. 代码覆盖率报告（可选）

如果你的 PHP 项目有单元测试，并且生成了代码覆盖率报告，可以将代码覆盖率报告上传到 SonarQube 服务器。

使用 PHPUnit 生成代码覆盖率报告。

vendor/bin/phpunit --coverage-clover coverage.xml

在 .gitlab-ci.yml 文件中，设置 sonar.php.coverage.reportPaths 属性，指向代码覆盖率报告的路径。

sonar:
  stage: sonar
  image: ubuntu:latest
  # ... 其他配置 ...
  script:
    - sonar-scanner 
      -Dsonar.projectKey=$SONAR_PROJECT_KEY 
      -Dsonar.projectName="$SONAR_PROJECT_NAME" 
      -Dsonar.sources=. 
      -Dsonar.host.url=$SONAR_HOST_URL 
      -Dsonar.login=$SONAR_TOKEN 
      -Dsonar.php.coverage.reportPaths=coverage.xml

4.5. 运行 CI/CD 流程

提交代码到 GitLab 代码仓库，触发 CI/CD 流程。在 GitLab CI 的 "Pipelines" 中，可以看到 CI/CD 流程的执行状态。如果一切配置正确，SonarQube 扫描阶段将成功完成，并将分析结果发送到 SonarQube 服务器。

4.6. 查看 SonarQube 报告

5. 高级配置和自定义

自定义规则: SonarQube 允许你创建自定义规则，以满足特定的安全需求。
质量闸门 (Quality Gate): SonarQube 允许你定义质量闸门，用于评估代码质量和安全性。如果代码不符合质量闸门的要求，构建将失败。
排除目录和文件: 可以排除某些目录和文件不进行扫描，例如 vendor 目录。
配置 SonarLint: SonarLint 是一个 IDE 插件，可以在开发过程中实时检测代码问题。

6. 常见问题和解决方案

SonarQube Scanner 无法连接到 SonarQube 服务器: 检查 SonarQube 服务器 URL 和端口是否正确，以及网络连接是否正常。
SonarQube Scanner 认证失败: 检查 SonarQube 令牌是否正确。
SonarQube 报告中缺少代码覆盖率信息: 检查代码覆盖率报告的路径是否正确，以及代码覆盖率报告的格式是否正确。
SonarQube 分析时间过长: 优化 SonarQube 规则集，排除不必要的目录和文件。

7. 代码示例

下面提供一些 PHP 代码示例，以及 SonarQube 如何检测其中的安全漏洞。

7.1. SQL 注入

<?php
$username = $_GET['username'];
$password = $_GET['password'];

// 存在 SQL 注入风险
$sql = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";

$result = mysqli_query($conn, $sql);

// 正确的做法是使用预处理语句
$stmt = mysqli_prepare($conn, "SELECT * FROM users WHERE username = ? AND password = ?");
mysqli_stmt_bind_param($stmt, "ss", $username, $password);
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);
?>

SonarQube 会检测到第一个 SQL 查询语句存在 SQL 注入风险，并建议使用预处理语句来防止 SQL 注入。

7.2. XSS

<?php
$name = $_GET['name'];

// 存在 XSS 风险
echo "Hello, " . $name;

// 正确的做法是使用 htmlspecialchars() 函数对用户输入进行转义
echo "Hello, " . htmlspecialchars($name, ENT_QUOTES, 'UTF-8');
?>

SonarQube 会检测到直接输出用户输入存在 XSS 风险，并建议使用 htmlspecialchars() 函数对用户输入进行转义。

7.3. 文件包含漏洞

<?php
$page = $_GET['page'];

// 存在文件包含漏洞风险
include($page . ".php");

// 正确的做法是使用白名单或限制包含的文件类型
$allowed_pages = array("home", "about", "contact");
if (in_array($page, $allowed_pages)) {
  include($page . ".php");
}
?>

SonarQube 会检测到直接包含用户输入的文件存在文件包含漏洞风险，并建议使用白名单或限制包含的文件类型。

8. 最佳实践

尽早集成: 尽早将 SonarQube 集成到 CI/CD 流程中，以便尽早发现并修复安全漏洞。
定期更新规则集: 定期更新 SonarQube 规则集，以保持对最新安全威胁的防御能力。
培训开发人员: 培训开发人员，提高他们对安全漏洞的认识，并教他们如何编写安全的代码。
持续改进: 持续改进安全审计流程，并根据实际情况进行调整。

自动化安全审计，提升代码质量和安全性

通过将 SonarQube 等 SAST 工具集成到 CI/CD 流程中，我们可以实现自动化安全审计，尽早发现并修复潜在的安全漏洞，从而降低风险、提升代码质量，并最终交付更安全可靠的应用程序。记住，安全性是软件开发生命周期中的一个持续过程，需要我们持续关注和改进。

PHP 安全审计：将 SonarQube 集成到 CI/CD 流程

发表回复 取消回复

发表回复取消回复