Syft
Назначение
Заголовок раздела «Назначение»Syft используется для генерации SBOM (Software Bill of Materials) из кода проекта. В TRAIO SBOM применяется как входной артефакт для SCA-процесса (например, для последующей загрузки в Dependency-Track).
Requirements
Заголовок раздела «Requirements»- В Sequences перед этим инструментом должен быть добавлен job Code Downloader
- В Sequences после данного инструмента должен быть добавлен любой инструмент принимающий артфакты от SBOM
Как работает
Заголовок раздела «Как работает»Сканер использует официальный docker-образ:
anchore/syft:v1.41.0-debug
Команда запуска
/syft "dir:./${SEC_CODE_FOLDER}" -o cyclonedx-json=/data/sbom.jsonНа выходе формируется SBOM в формате CycloneDX JSON
Отчёт сохраняется в pipeline volume (обычно в /data) как артефакт для следующих шагов пайплайна.
Переменные окружения (env)
Заголовок раздела «Переменные окружения (env)»| Переменная | Значение по умолчанию | Обязательное | Описание |
|---|---|---|---|
| SEC_CODE_FOLDER | (указывается автоматический) | Да | Относительный путь к папке с кодом, которую нужно просканировать |