fix(ci): corrige les issues Sonar du scan DAST et fait echouer un scan qui n'importe pas le contrat
This commit is contained in:
Dorian
+43
-10
@@ -69,7 +69,8 @@ jobs:
|
||||
uses: actions/checkout@v4
|
||||
|
||||
- name: Installe uv
|
||||
uses: astral-sh/setup-uv@v5
|
||||
# Épinglé sur le commit du tag v5 (règle Sonar githubactions:S7637).
|
||||
uses: astral-sh/setup-uv@d4b2f3b6ecc6e67c4457f6d3e41ec42d3d0fcb86 # v5
|
||||
with:
|
||||
enable-cache: true
|
||||
cache-dependency-glob: apps/backend/uv.lock
|
||||
@@ -78,20 +79,24 @@ jobs:
|
||||
run: uv python install
|
||||
working-directory: apps/backend
|
||||
|
||||
# `--no-build` : aucune dépendance n'est construite depuis ses sources, donc aucun script de
|
||||
# build exécuté (règle Sonar S8541). Le projet lui-même n'est pas installé : il tourne depuis
|
||||
# `apps/backend`, comme dans son Dockerfile. Les `uv run` suivants portent `--frozen
|
||||
# --no-sync` pour ne rien résoudre ni reconstruire (règle S8544).
|
||||
- name: Synchronise les dépendances sans dévier du verrou
|
||||
run: uv sync --frozen --no-dev
|
||||
run: uv sync --frozen --no-dev --no-install-project --no-build
|
||||
working-directory: apps/backend
|
||||
|
||||
- name: Active TimescaleDB sur la base du scan
|
||||
run: psql -h localhost -p 5433 -U enervision -d enervision_dast -c "CREATE EXTENSION IF NOT EXISTS timescaledb"
|
||||
|
||||
- name: Applique les migrations
|
||||
run: uv run alembic upgrade head
|
||||
run: uv run --frozen --no-sync --no-build alembic upgrade head
|
||||
working-directory: apps/backend
|
||||
|
||||
- name: Démarre l'API
|
||||
run: |
|
||||
nohup uv run uvicorn app.main:create_app --factory --host 0.0.0.0 --port 8000 \
|
||||
nohup uv run --frozen --no-sync --no-build uvicorn app.main:create_app --factory --host 0.0.0.0 --port 8000 \
|
||||
> "$RUNNER_TEMP/api.log" 2>&1 &
|
||||
for _ in $(seq 1 30); do
|
||||
curl -fsS http://localhost:8000/api/v1/health/ready >/dev/null 2>&1 && exit 0
|
||||
@@ -110,21 +115,27 @@ jobs:
|
||||
echo "jeton=$jeton" >> "$GITHUB_OUTPUT"
|
||||
working-directory: apps/backend
|
||||
|
||||
# `--network host` : ZAP atteint l'API sur le localhost du runner. Le dossier de sortie doit
|
||||
# être inscriptible par l'utilisateur du conteneur (uid 1000).
|
||||
# `--network host` : ZAP atteint l'API sur le localhost du runner. Le dossier de sortie
|
||||
# appartient à l'utilisateur du conteneur (uid 1000), sans droits d'écriture pour les autres
|
||||
# (règle Sonar S2612 : pas de `chmod 777`).
|
||||
#
|
||||
# Les routes d'authentification qui changent l'état du compte du scan sont exclues : un
|
||||
# scan actif y déclencherait la limitation de débit du login, la réinitialisation de mots de
|
||||
# passe et la fermeture des sessions, sans rien apprendre de plus.
|
||||
#
|
||||
# Le conteneur n'est pas jetable (`--rm`) : son journal interne (`zap.log`) est copié en
|
||||
# sortie, c'est lui qui dit pourquoi un import OpenAPI a échoué.
|
||||
- name: Scan ZAP
|
||||
id: zap
|
||||
continue-on-error: true
|
||||
run: |
|
||||
mkdir -p zap-out && chmod 777 zap-out
|
||||
docker run --rm --network host -v "$PWD/zap-out:/zap/wrk:rw" \
|
||||
set -o pipefail
|
||||
mkdir -p zap-out
|
||||
sudo chown 1000:1000 zap-out
|
||||
docker run --name zap --network host -v "$PWD/zap-out:/zap/wrk:rw" \
|
||||
ghcr.io/zaproxy/zaproxy:stable zap-api-scan.py \
|
||||
-t http://localhost:8000/openapi.json -f openapi \
|
||||
-T 30 \
|
||||
-T 30 -d \
|
||||
-r zap-report.html -J zap-report.json -w zap-report.md \
|
||||
-z "-config replacer.full_list(0).description=auth \
|
||||
-config replacer.full_list(0).enabled=true \
|
||||
@@ -134,7 +145,29 @@ jobs:
|
||||
-config replacer.full_list(0).replacement='Bearer ${{ steps.jeton.outputs.jeton }}' \
|
||||
-config globalexcludeurl.url_list.url(0).description=auth-etat \
|
||||
-config globalexcludeurl.url_list.url(0).enabled=true \
|
||||
-config globalexcludeurl.url_list.url(0).regex='.*/api/v1/auth/(login|password|logout-all|forgot-password|reset-password).*'"
|
||||
-config globalexcludeurl.url_list.url(0).regex='.*/api/v1/auth/(login|password|logout-all|forgot-password|reset-password).*'" \
|
||||
2>&1 | tee "$RUNNER_TEMP/zap-stdout.log"
|
||||
|
||||
- name: Récupère les journaux de ZAP
|
||||
if: always()
|
||||
run: |
|
||||
cp "$RUNNER_TEMP/zap-stdout.log" zap-out/zap-stdout.log 2>/dev/null || true
|
||||
docker cp zap:/home/zap/.ZAP/zap.log zap-out/zap.log 2>/dev/null || true
|
||||
docker rm -f zap >/dev/null 2>&1 || true
|
||||
|
||||
# `continue-on-error` sur le scan ne doit pas faire passer pour vert un scan qui n'a rien
|
||||
# testé : ZAP « réussit » aussi quand l'import du contrat n'a chargé que quelques URL, et
|
||||
# ne teste alors que des 404 (constaté au premier passage : 2 URL importées sur 26
|
||||
# opérations). Les alertes restent non bloquantes, ce garde-fou-là bloque.
|
||||
- name: Vérifie que le contrat a bien été importé
|
||||
run: |
|
||||
importees="$(sed -n 's/.*Number of Imported URLs: \([0-9]*\).*/\1/p' zap-out/zap-stdout.log | tail -1)"
|
||||
minimum=10
|
||||
echo "URL importées depuis le contrat OpenAPI : ${importees:-aucune}"
|
||||
if [ "${importees:-0}" -lt "$minimum" ]; then
|
||||
echo "::error::ZAP n'a importé que ${importees:-0} URL du contrat OpenAPI (minimum attendu : $minimum). Le scan n'a pas testé l'API, voir zap-out/zap.log dans l'artefact zap-report."
|
||||
exit 1
|
||||
fi
|
||||
|
||||
- name: Publie le résumé
|
||||
if: always()
|
||||
|
||||
@@ -214,7 +214,14 @@ Les routes d'authentification qui changent l'état du compte (`login`, `password
|
||||
`forgot-password`, `reset-password`) sont exclues du scan actif : elles y déclencheraient la
|
||||
limitation de débit et fermeraient les sessions sans rien apprendre de plus.
|
||||
|
||||
**Non bloquant pour l'instant** (`continue-on-error`). Le volume d'alertes d'un premier passage est
|
||||
**Un scan vert n'est pas un scan qui a testé quelque chose.** Au premier passage, le job était vert
|
||||
alors que ZAP n'avait importé que **2 URL sur 26 opérations** du contrat (`Number of Imported URLs:
|
||||
2`) : il n'avait envoyé que des requêtes vouées au 404, sans jamais atteindre une route gardée
|
||||
(rapport : 100 % de réponses 4xx, zéro alerte). ZAP « réussit » dans ce cas. Le job porte donc un
|
||||
garde-fou qui, lui, **bloque** : il échoue si moins de 10 URL sont importées. Le journal interne de
|
||||
ZAP (`zap.log`) est publié dans l'artefact `zap-report` pour diagnostiquer un import raté.
|
||||
|
||||
**Non bloquant pour l'instant** (`continue-on-error`) pour ce qui est des alertes. Le volume d'alertes d'un premier passage est
|
||||
inconnu ; le rapport HTML/JSON/Markdown est publié en artefact `zap-report` et dans le résumé du
|
||||
job. Fixer un seuil viendra une fois les alertes triées.
|
||||
|
||||
|
||||
@@ -28,8 +28,10 @@ nouveau_mot_de_passe() { echo "Dast-$(openssl rand -hex 12)-Aa1!"; }
|
||||
journal() { echo "dast-token: $*" >&2; }
|
||||
|
||||
connexion() {
|
||||
local email="$1" mot_de_passe="$2"
|
||||
curl -fsS -X POST "$API/auth/login" -H 'Content-Type: application/json' \
|
||||
-d "$(jq -n --arg e "$1" --arg p "$2" '{email:$e, password:$p}')" | jq -r '.access_token'
|
||||
-d "$(jq -n --arg e "$email" --arg p "$mot_de_passe" '{email:$e, password:$p}')" \
|
||||
| jq -r '.access_token'
|
||||
}
|
||||
|
||||
changer_mot_de_passe() {
|
||||
@@ -40,7 +42,7 @@ changer_mot_de_passe() {
|
||||
}
|
||||
|
||||
journal "création de l'administrateur $EMAIL_ADMIN"
|
||||
SORTIE="$(uv run python -m app.cli create-admin --email "$EMAIL_ADMIN" --generate)"
|
||||
SORTIE="$(uv run --frozen --no-sync --no-build python -m app.cli create-admin --email "$EMAIL_ADMIN" --generate)"
|
||||
MDP_ADMIN="$(sed -n 's/^Mot de passe généré, il ne sera plus affiché : //p' <<<"$SORTIE")"
|
||||
[[ -n "$MDP_ADMIN" ]] || { journal "mot de passe administrateur introuvable dans la sortie"; exit 1; }
|
||||
|
||||
|
||||
Reference in New Issue
Block a user