Snyk Python 액션

이 페이지는 Python용 Snyk GitHub 액션 사용 예시를 제공합니다. 액션 사용 및 추가 정보에 대한 지침은 Snyk 설정 및 취약점 확인을 위한 GitHub 액션을 참조하십시오.

Snyk Python 액션을 사용하여 취약점 확인

다음 예시는 Snyk Python GitHub 액션을 사용하는 방법을 보여줍니다.

Snyk은 Snyk 확인을 실행하거나 트리거하기 전에 Python이 종속성을 다운로드해야 합니다.

Python 이미지는 매니페스트 파일이 현재 경로(즉, 액션이 트리거되는 경로)에 있는 경우에만 종속성을 확인하고 설치합니다.

• pip이 현재 경로에 있고 Snyk이 requirements.txt 파일을 찾으면 Snyk은 pip install -r requirements.txt를 실행합니다.

• pipenv가 현재 경로에 있고 Snyk이 Pipfile.lock이 없는 Pipfile을 찾으면 Snyk은 pipenv update를 실행합니다.

• pyproject.toml이 현재 경로에 있고 Snyk이 poetry.lock을 찾지 못하면 Snyk은 pip install poetry를 실행합니다.

매니페스트 파일이 루트가 아닌 다른 위치에 있는 경우 Snyk을 실행하기 전에 설치해야 합니다.

Snyk Python 액션을 사용하여 다음과 같이 취약점을 확인할 수 있습니다.

name: Snyk을 사용하는 Python용 예제 워크플로
on: push
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@master
      - name: Snyk을 실행하여 취약점 확인
        uses: snyk/actions/python@master
        env:
          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}

다음과 같이 Snyk CocoaPods 액션을 사용하여 심각도가 높은 취약점만 확인할 수 있습니다.

name: Snyk을 사용하는 Python용 예제 워크플로
on: push
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@master
      - name: Snyk을 실행하여 취약점 확인
        uses: snyk/actions/python@master
        env:
          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
        with:
          args: --severity-threshold=high

Snyk Python 액션을 사용하여 snyk monitor 실행

snyk monitor 실행 예시는 Snyk 모니터 예시를 참조하십시오.

Snyk Python 액션을 사용하여 GitHub 코드 스캔에 Snyk 스캔 결과 업로드

--sarif-file-output Snyk CLI 옵션과 GitHub SARIF 업로드 액션을 사용하면 다음 예시와 같이 Snyk 스캔 결과를 GitHub 코드 스캔에 업로드할 수 있습니다.

취약점이 발견되면 Snyk 액션이 실패합니다. 이는 SARIF 업로드 액션이 실행되는 것을 방지합니다. 따라서 다음 예시와 같이 continue-on-error 옵션을 사용해야 합니다.

name: Snyk을 사용하는 Python용 예제 워크플로
on: push
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@master
      - name: Snyk을 실행하여 취약점 확인
        uses: snyk/actions/python@master
        continue-on-error: true # SARIF 업로드가 호출되도록 확인
        env:
          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
        with:
          args: --sarif-file-output=snyk.sarif
      - name: 결과를 GitHub 코드 스캔에 업로드
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: snyk.sarif

비공개 리포지토리에서 upload-sarif 옵션을 사용하려면 GitHub Advanced Security가 활성화되어 있어야 합니다.

Advanced Security must be enabled for this repository to use code scanning 오류가 표시되면 GitHub Advanced Security가 활성화되어 있는지 확인하십시오. 자세한 내용은 리포지토리 보안 및 분석 설정 관리를 참조하십시오.