SAMMY 开源版 v2

本仓库托管了 SAMMY（OWASP SAMM 工具）的开源版本。

https://owasp.org/www-project-open-sammy/

许可证

本项目采用知识共享署名-相同方式共享 4.0 国际许可协议进行许可。详情请参阅 LICENSE 文件。

SAMMY v2

安装包预置了一个已注入数据库的用户：
- 用户名：[email protected]
- 密码：admin
- MFA 密钥：AB4FHDUHYVGW7IAB（请将此密钥手动添加到您的身份验证器应用中）

如何在不使用 Docker 的情况下运行

前提条件

MySQL 或 MariaDB
Redis（仅当您在 APP_ENV=prod 环境下运行时需要）
php8.2+
composer

可选

Symfony CLI (https://symfony.com/download)

如何运行

使用您的本地配置创建 .env.local 文件。以 MariaDB 为例：
- 如果您使用其他数据库，请在此处找到合适的连接字符串 - https://www.doctrine-project.org/projects/doctrine-dbal/en/latest/reference/configuration.html#connecting-using-a-url

DATABASE_URL=mysql://root:[email protected]:3306/sammy?serverVersion=11.3.2-MariaDB
REDIS_HOST=127.0.0.1
REDIS_PORT=6379
APP_ENV=dev
APP_DEBUG=1

安装并运行

composer install
./scripts/setup_database.sh
# 如果您有 symfony cli
symfony server:start --allow-http
# 否则
php -S 0.0.0.0:8000 -t ./public
open http://127.0.0.1:8000

如何使用 Docker 运行

# 1. 启动数据库和 Redis
docker compose up -d db redis
# 2. 现在可以启动我们的应用程序
docker compose up -d --build app
# 3. 同步 SAMM 模型。注意，此步骤将从核心 GitHub 仓库同步 SAMM 模型。您只需在首次安装时以及每次 SAMM 模型更新时执行此操作。
docker compose exec app ./scripts/sync_samm.sh
# 4. 同步 DSOMM 模型。注意，此步骤将从核心 GitHub 仓库同步 DSOMM 模型。您只需在首次安装时以及每次 DSOMM 模型更新时执行此操作。
docker compose exec app ./scripts/sync_dsomm.sh
# 5. 开始使用
open http://127.0.0.1:8000

邮件功能

如果您想使用邮件功能，您需要将以下内容添加到您的 .env.local 或 compose.yaml 文件中。所有字段均为必填项。此外，服务器默认应使用正确的 SSL。

用于 .env.local

  PHPMAILER_SMTP_HOST=
  PHPMAILER_SMTP_PORT=
  PHPMAILER_SMTP_USERNAME=
  PHPMAILER_SMTP_PASSWORD=
  PHPMAILER_SMTP_DEFAULT_SENDER=
  PHPMAILER_SMTP_USE_AUTH=
  PHPMAILER_SMTP_DEFAULT_ENCRYPTION=
  PHPMAILER_SMTP_AUTO_TLS=

用于 compose.yaml 中 app 部分下的 environment

- PHPMAILER_SMTP_HOST=
- PHPMAILER_SMTP_PORT=
- PHPMAILER_SMTP_USERNAME=
- PHPMAILER_SMTP_PASSWORD=
- PHPMAILER_SMTP_DEFAULT_SENDER=
- PHPMAILER_SMTP_USE_AUTH=
- PHPMAILER_SMTP_DEFAULT_ENCRYPTION=

如果您使用 Docker，则无需执行其他操作。已有一个每 2 分钟运行一次的 cron 任务。
如果您在本地运行，则需要手动执行以下命令：

php ./bin/console app:process-mailing

DSOMM 支持

我们支持对 DSOMM 模型进行评估。默认情况下，您的数据库中将包含 DSOMM 模型及其所需内容。如果您愿意，您也可以导入自定义的 DSOMM 变体。例如，您可以拥有包含更多/更少领域和实践的模型。您可以同时拥有多个 DSOMM 变体。

php ./bin/console app:sync-from-dsomm --source="path/to/dsomm-file.yaml"

可选地，如果您希望对现有的 DSOMM 变体进行更新，可以传入元模型 ID

php ./bin/console app:sync-from-dsomm --source="path/to/dsomm-file.yaml" --metamodel=33

我们期望单个 YAML 文件包含如下所有数据结构。默认情况下，我们将使用此文件： https://github.com/devsecopsmaturitymodel/DevSecOps-MaturityModel-data/blob/main/src/assets/YAML/generated/generated.yaml

open-sammy

最受欢迎