From 00fab49d80599a1870c5f026a3bcf277ff4ecefd Mon Sep 17 00:00:00 2001 From: Dorian Date: Mon, 21 Sep 2026 16:42:25 +0200 Subject: [PATCH] fix(ci): charge le contrat OpenAPI depuis un fichier dans le scan DAST et publie les journaux ZAP --- .github/workflows/dast.yml | 34 ++++++++++++++++++++++++++-------- docs/architecture/50-cicd.md | 12 +++++++++++- 2 files changed, 37 insertions(+), 9 deletions(-) diff --git a/.github/workflows/dast.yml b/.github/workflows/dast.yml index f85ac44..bfef702 100644 --- a/.github/workflows/dast.yml +++ b/.github/workflows/dast.yml @@ -130,11 +130,26 @@ jobs: continue-on-error: true run: | set -o pipefail - mkdir -p zap-out - sudo chown 1000:1000 zap-out + mkdir -p zap-out zap-logs + # Le contrat est chargé depuis un fichier : `importUrl` a répondu 400 au premier passage + # et ZAP est alors reparti explorer la racine (2 URL, que des 404). + curl -fsS http://localhost:8000/openapi.json -o zap-out/openapi.json + # Les noms des schémas de sécurité du contrat sont accentués (`Jeton d'accès`...) : ZAP + # les analyse mal. Seule la copie donnée à ZAP est renommée, le contrat versionné reste + # tel quel. + python3 - <<'PY' + import json, pathlib + chemin = pathlib.Path("zap-out/openapi.json") + contrat = chemin.read_text(encoding="utf-8") + for ancien, nouveau in (("Jeton d'accès", "JetonAcces"), ("Cookie de rafraîchissement", "CookieRafraichissement")): + contrat = contrat.replace(ancien, nouveau) + json.loads(contrat) + chemin.write_text(contrat, encoding="utf-8") + PY + sudo chown -R 1000:1000 zap-out docker run --name zap --network host -v "$PWD/zap-out:/zap/wrk:rw" \ ghcr.io/zaproxy/zaproxy:stable zap-api-scan.py \ - -t http://localhost:8000/openapi.json -f openapi \ + -t /zap/wrk/openapi.json -f openapi -O http://localhost:8000 \ -T 30 -d \ -r zap-report.html -J zap-report.json -w zap-report.md \ -z "-config replacer.full_list(0).description=auth \ @@ -151,8 +166,9 @@ jobs: - name: Récupère les journaux de ZAP if: always() run: | - cp "$RUNNER_TEMP/zap-stdout.log" zap-out/zap-stdout.log 2>/dev/null || true - docker cp zap:/home/zap/.ZAP/zap.log zap-out/zap.log 2>/dev/null || true + mkdir -p zap-logs + cp "$RUNNER_TEMP/zap-stdout.log" zap-logs/zap-stdout.log || true + docker cp zap:/home/zap/.ZAP/zap.log zap-logs/zap.log || true docker rm -f zap >/dev/null 2>&1 || true # `continue-on-error` sur le scan ne doit pas faire passer pour vert un scan qui n'a rien @@ -161,11 +177,11 @@ jobs: # opérations). Les alertes restent non bloquantes, ce garde-fou-là bloque. - name: Vérifie que le contrat a bien été importé run: | - importees="$(sed -n 's/.*Number of Imported URLs: \([0-9]*\).*/\1/p' zap-out/zap-stdout.log | tail -1)" + importees="$(sed -n 's/.*Number of Imported URLs: \([0-9]*\).*/\1/p' "$RUNNER_TEMP/zap-stdout.log" | tail -1)" minimum=10 echo "URL importées depuis le contrat OpenAPI : ${importees:-aucune}" if [ "${importees:-0}" -lt "$minimum" ]; then - echo "::error::ZAP n'a importé que ${importees:-0} URL du contrat OpenAPI (minimum attendu : $minimum). Le scan n'a pas testé l'API, voir zap-out/zap.log dans l'artefact zap-report." + echo "::error::ZAP n'a importé que ${importees:-0} URL du contrat OpenAPI (minimum attendu : $minimum). Le scan n'a pas testé l'API, voir zap-logs/zap.log dans l'artefact zap-report." exit 1 fi @@ -183,7 +199,9 @@ jobs: uses: actions/upload-artifact@v4 with: name: zap-report - path: zap-out/ + path: | + zap-out/ + zap-logs/ if-no-files-found: warn # Un scan sans compte authentifié ne testerait que les routes publiques : mieux vaut le diff --git a/docs/architecture/50-cicd.md b/docs/architecture/50-cicd.md index 963267c..7b55240 100644 --- a/docs/architecture/50-cicd.md +++ b/docs/architecture/50-cicd.md @@ -219,7 +219,17 @@ alors que ZAP n'avait importé que **2 URL sur 26 opérations** du contrat (`Num 2`) : il n'avait envoyé que des requêtes vouées au 404, sans jamais atteindre une route gardée (rapport : 100 % de réponses 4xx, zéro alerte). ZAP « réussit » dans ce cas. Le job porte donc un garde-fou qui, lui, **bloque** : il échoue si moins de 10 URL sont importées. Le journal interne de -ZAP (`zap.log`) est publié dans l'artefact `zap-report` pour diagnostiquer un import raté. +ZAP (`zap.log`) et sa sortie complète (`zap-stdout.log`) sont publiés dans l'artefact `zap-report` +(dossier `zap-logs/`) pour diagnostiquer un import raté. + +Diagnostic du premier passage : `zap-api-scan.py` appelle `importUrl` sur `/openapi.json`, ZAP répond +**400**, le contrat n'est pas chargé et ZAP se rabat sur l'exploration de la racine. Le job charge +donc le contrat **depuis un fichier** (`-t /zap/wrk/openapi.json -O http://localhost:8000`) et +renomme dans cette copie, sans toucher au contrat versionné, les deux schémas de sécurité aux noms +accentués (`Jeton d'accès`, `Cookie de rafraîchissement`) que l'analyseur de ZAP peut refuser. La +cause exacte du 400 n'est pas confirmée : si l'import échoue encore, `zap-logs/zap.log` la donne. +Piège de permissions : le dossier `zap-out` appartient à l'uid 1000 du conteneur, le runner n'y écrit +plus après le `chown` ; les journaux vont donc dans `zap-logs/`, que le runner possède. **Non bloquant pour l'instant** (`continue-on-error`) pour ce qui est des alertes. Le volume d'alertes d'un premier passage est inconnu ; le rapport HTML/JSON/Markdown est publié en artefact `zap-report` et dans le résumé du