容器环境下代码级安全扫描与依赖审计需嵌入开发流程，协同代码（如semgrep扫描逻辑漏洞）与依赖（如owasp dependency-check解析全依赖树）双层扫描，串联ci/cd门禁、sbom生成及镜像二次扫描，确保可追溯、可干预、可复现。
容器环境下的代码级安全扫描与依赖审计，不是简单把工具塞进镜像里跑一遍，而是要把扫描能力嵌入开发流程、与构建上下文对齐、让结果可追溯可干预。关键在于“代码”和“依赖”两个层面的扫描必须协同，不能割裂。
代码级扫描：聚焦逻辑漏洞与编码风险
这类扫描针对源码本身，识别硬编码密钥、不安全函数调用、注入点、越权逻辑等。在容器中运行时，需确保扫描器能准确识别语言上下文和项目结构。
- 推荐使用Semgrep：轻量、规则丰富、支持20+语言，Docker镜像开箱即用；挂载源码目录后直接扫描，无需安装额外依赖
- 命令示例：
docker run -v $(pwd):/src semgrep/sempgrep:latest semgrep scan --config p/r2c --exclude="test/" /src - 注意：避免在容器内执行
git clone——应由CI前置步骤拉取代码并挂载，保证扫描对象与构建镜像的源码一致
依赖审计：覆盖直接+传递依赖的漏洞与合规风险
仅看package.json或pom.xml远远不够，必须解析完整的依赖树，并比对NVD、OSV等漏洞数据库。
- OWASP Dependency-Check适合Java/Python/.NET等传统栈；prism-scanner更适配多仓库统一治理场景，支持批量Git克隆+并行分析
- 务必启用缓存卷，避免每次启动都下载数GB漏洞数据：
-v odc-data:/root/.dependency-check/data - 输出至少保留HTML（人工复核）和JSON（CI策略判断），例如用jq提取CRITICAL数量：
jq '.dependencies[] | select(.vulnerabilities[]?.severity=="CRITICAL") | .fileName' report.json | wc -l
CI/CD中串联扫描与门禁控制
扫描结果必须驱动真实决策，而不是生成一份无人查看的报告。
- 在流水线中设置分层门禁：CRITICAL漏洞阻断构建；HIGH漏洞需提交豁免理由并经安全团队审批
- 将SBOM（软件物料清单）作为构建产物之一，用Syft或Trivy生成，与镜像一起存入仓库，便于后续溯源
- 避免“扫描归扫描、构建归构建”——建议在
docker build前先完成代码+依赖双扫描，失败则不进入镜像打包阶段
镜像层与源码层的关联验证
很多漏洞出现在构建过程引入的中间件或构建工具中（如Node.js的npm ci缓存、Maven的~/.m2），仅扫源码会漏掉。
- 对最终镜像做二次扫描（如Trivy image --security-checks vuln,config,secret），补全源码扫描盲区
- 利用Docker BuildKit的
--mount=type=cache特性，隔离构建缓存，防止污染扫描环境 - 记录扫描使用的工具版本、规则集哈希、漏洞库更新时间，写入镜像label，保障结果可复现
