Компонент для сканирования зависимостей и лицензий

Этот компонент генерирует CycloneDX Software Bill of Materials, который используется GitLab для идентификации зависимостей проекта и их лицензий. Данный CycloneDX Software Bill of Materials совместим с [таксономией GitLab]. Кроме того, этот компонент способен генерировать [отчет о сканировании зависимостей] на основе уязвимостей, обнаруженных в зависимостях проекта.

Требования

Этот компонент CI/CD требует возможностей GitLab [сканирования зависимостей], функции GitLab Ultimate.

Использование

Добавьте следующий фрагмент в ваш .gitlab-ci.yml, чтобы запустить задание dependency-scanning с конфигурацией по умолчанию.

include:
  - component: $CI_SERVER_FQDN/components/dependency-scanning/main@<VERSION>

Вы также можете настроить задание с помощью входных параметров компонента CI/CD. Например, вы можете настроить уровень журналирования и этап задания с помощью следующей конфигурации.

include:
  - component: $CI_SERVER_FQDN/components/dependency-scanning/main@<VERSION>
    inputs:
      log_level: "debug"
      stage: "security-scanning"

[!note] Убедитесь, что вы указали версию компонента. Опубликованные версии можно найти в разделе тегов проекта. Дополнительная информация о версионировании компонентов и доступных параметрах находится в документации по версиям компонентов.

Входные параметры

Пожалуйста, обратитесь к странице каталога для получения полного списка разрешенных входных параметров.

Вклад

1. Прочитайте, как внести вклад в разработку GitLab и руководство по разработке официальных компонентов CI/CD GitLab.
2. Отправьте запрос на слияние и следуйте инструкциям бота.

Процесс выпуска

1. Продвигайте невыпущенные журналы изменений с помощью changie batch auto.
2. Обновите CHANGELOG.md с помощью changie merge.
3. Создайте новый выпуск, используя последнюю версию из журнала изменений, с помощью git tag "$(changie latest -r)" && git push origin "$(changie latest -r)".