securecodebox/hook-persistence-defectdojo

镜像概述和主要用途

OWASP secureCodeBox的DefectDojo持久化钩子（hook-persistence-defectdojo）是一个与secureCodeBox配合使用的镜像，旨在将安全扫描结果自动导入到OWASP DefectDojo中。作为secureCodeBox生态的一部分，它通过集成DefectDojo的漏洞管理能力，帮助DevSecOps团队集中管理、跟踪和响应安全漏洞，提升安全测试流程的自动化和效率。

核心功能和特性

• 自动导入扫描结果：通过DefectDojo API v2将secureCodeBox的扫描报告导入DefectDojo，支持自动去重等DefectDojo核心功能。
• 多扫描类型支持：兼容secureCodeBox和DefectDojo均支持的扫描类型，包括Nmap、Nikto、ZAP Automation Scan、SSLyze、Trivy、Gitleaks、Semgrep等（完整列表可参考https://github.com/secureCodeBox/secureCodeBox/blob/main/hooks/persistence-defectdojo/hook/src/main/java/io/securecodebox/persistence/util/ScanNameMapping.java%EF%BC%89%E3%80%82
• 发现结果覆盖：导入后，DefectDojo解析的发现结果会覆盖secureCodeBox原有的发现结果，包含误报状态、重复状态等元数据，便于后续钩子（如Slack通知）基于这些元数据过滤处理。
• 灵活配置：支持只读模式（防止覆盖发现结果）、钩子执行优先级控制、按扫描类型选择性禁用等高级配置。

使用场景和适用范围

适用于采用DevSecOps实践的团队，需在安全测试流程中实现漏洞集中管理的场景：

• 自动化安全扫描后需将结果统一存储到DefectDojo进行跟踪的场景；
• 需要利用DefectDojo的去重、优先级排序等功能优化漏洞管理的场景；
• DevSecOps流水线中需基于扫描结果元数据（如非误报、非重复漏洞）触发后续操作的场景。

详细使用方法和配置说明

支持的标签

• latest：最新稳定版本构建
• 版本化标签，如3.0.0、2.9.0、2.8.0、2.7.0等

拉取镜像

bash
docker pull docker.xuanyuan.run/securecodebox/hook-persistence-defectdojo

使用说明

该钩子镜像需与secureCodeBox的解析器镜像配合使用，通过读取原始扫描结果并调用DefectDojo API完成导入。使用前需确保DefectDojo服务可访问，并正确配置API地址、令牌等参数（具体配置方法见https://www.securecodebox.io/docs/hooks/defectdojo%EF%BC%89%E3%80%82

注意事项

• 扫描类型兼容性：仅双方均支持的扫描类型可完全利用DefectDojo功能（如去重）；非支持类型将使用通用导入器，可能导致结果展示简化或部分发现丢失。
• 钩子执行顺序：默认情况下，多个读写钩子（ReadAndWrite Hooks）的执行顺序不固定，可能导致“更新丢失”（DefectDojo钩子覆盖其他钩子的修改）。secureCodeBox 3.4.0+可通过https://www.securecodebox.io/docs/how-tos/hooks#hook-order%E6%8E%A7%E5%88%B6%E6%89%A7%E8%A1%8C%E9%A1%BA%E5%BA%8F%E3%80%82
• 数据安全配置：
  • 启用只读模式：安装时设置--set defectdojo.syncFindingsBack=false，可防止钩子覆盖secureCodeBox发现结果，避免数据丢失风险（但DefectDojo内的去重问题仍可能存在）。
  • 选择性禁用：secureCodeBox 3.4.0+可通过https://www.securecodebox.io/docs/how-tos/hooks#hook-selector%E9%92%88%E5%AF%B9%E7%89%B9%E5%AE%9A%E6%89%AB%E6%8F%8F%E7%A6%81%E7%94%A8%E8%AF%A5%E9%92%A9%E5%AD%90%EF%BC%8C%E9%80%82%E7%94%A8%E4%BA%8E%E9%9D%9E%E5%85%BC%E5%AE%B9%E6%89%AB%E6%8F%8F%E7%B1%BB%E5%9E%8B%E3%80%82

社区支持

该项目为OWASP实验室项目，社区支持资源包括：

• GitHub：https://github.com/secureCodeBox/
• OWASP Slack（#project-securecodebox频道）：https://owasp.org/slack/invite
• ：[]

许可证

基于Apache-2.0许可证发布（https://opensource.org/licenses/Apache-2.0%EF%BC%89%E3%80%82%E9%95%9C%E5%83%8F%E4%B8%AD%E5%8C%85%E5%90%AB%E7%9A%84%E5%9F%BA%E7%A1%80%E7%B3%BB%E7%BB%9F%E7%BB%84%E4%BB%B6%E3%80%81%E4%BE%9D%E8%B5%96%E8%BD%AF%E4%BB%B6%E5%8F%AF%E8%83%BD%E5%85%B7%E6%9C%89%E5%85%B6%E4%BB%96%E8%AE%B8%E5%8F%AF%E8%AF%81%EF%BC%8C%E7%94%A8%E6%88%B7%E9%9C%80%E7%A1%AE%E4%BF%9D%E4%BD%BF%E7%94%A8%E7%AC%A6%E5%90%88%E6%89%80%E6%9C%89%E7%BB%84%E4%BB%B6%E7%9A%84%E8%AE%B8%E5%8F%AF%E8%A6%81%E6%B1%82%E3%80%82