流水线触发策略：PR 触发、定时触发、手动触发、增量扫描与全量扫描、触发条件表达式编写

安全扫描流水线的触发策略直接决定了扫描的时效性、资源消耗以及对开发流程的侵入程度。本章将系统讲解四种核心触发方式、两种扫描模式的取舍原则，以及如何通过条件表达式精确定义触发规则，帮助你构建既快又省的自动化安全防线。

2.1 触发策略分类与对比

根据扫描触发来源和时机，可将策略分为三类：

2.2 增量扫描 vs 全量扫描

扫描范围控制是资源调度的关键。两种模式的核心区别如下：

2.3 触发条件表达式编写

实际项目中通常需要组合多个条件才能精确定位有效触发。以下以 Jenkins Pipeline 和 GitLab CI 为例，展示条件表达式写法。

// Jenkinsfile 示例：仅当 PR 修改了 src/ 或 config/ 目录时执行安全扫描
if (env.CHANGE_ID) {  // 确认是 PR 上下文
    def files = sh(script: 'git diff --name-only origin/main HEAD', returnStdout: true).trim().split('\n')
    def scanPaths = ['src/', 'config/', 'Dockerfile', '*.yaml']
    def shouldScan = files.any { file ->
        scanPaths.any { path -> file.startsWith(path) || file == path }
    }
    if (shouldScan) {
        stage('Security Scan') {
            // 执行增量扫描逻辑...
        }
    }
}

# GitLab CI .gitlab-ci.yml 规则示例
rules:
  - if: '$CI_PIPELINE_SOURCE == "merge_request_event"'
    changes:
      - "src/**/*"
      - "config/**/*"
    when: always
  - if: '$CI_PIPELINE_SOURCE == "schedule"'
    when: always                  # 定时触发全量扫描
  - when: manual                  # 手动触发始终可用

关键要点：

• 路径匹配：使用 glob 模式时注意 ** 与 * 的语义差异（单层 vs 递归）。
• 变量引用：在 Jenkins 中通过 env. 获取环境变量，在 GitLab 中通过 $ 引用内置变量。
• 合并条件：可使用逻辑运算符 && / || 组合分支、标签、文件变更等条件。
• 回退策略：当条件表达式解析失败时，建议将 when 设回 never 或 manual，避免意外跳过重要扫描。

2.4 增量扫描的依赖缓存管理

增量扫描必须保存上次扫描的“快照”，通常包括：

1. 文件校验和：每个文件的 SHA256 值，用于判断内容是否变化。
2. 依赖清单：go.sum、package-lock.json 等，记录每个依赖版本与哈希。
3. 扫描结果标识：上次扫描出的漏洞 ID，避免重复告警。

典型实现方式（以 SAST 为例）：

#!/bin/bash
# 增量扫描脚本片段
CACHE_DIR="./.scan-cache"
mkdir -p "$CACHE_DIR"

prev_hash=$(cat "$CACHE_DIR/checksum.txt" 2>/dev/null)
current_hash=$(find src/ -type f -exec sha256sum {} + | sort | sha256sum)

if [ "$prev_hash" != "$current_hash" ]; then
  echo "代码已变更，执行增量扫描"
  # 扫描所有未缓存的文件，逐一对比
  # 结果存入 $CACHE_DIR/result.json
  echo "$current_hash" > "$CACHE_DIR/checksum.txt"
else
  echo "无变更，跳过扫描"
fi

2.5 完整触发决策流程

下图展示了从代码变更到扫描执行的完整决策树：

2.6 部署与稳定性优化

将上述策略投入生产时，需关注以下事项：

• 资源限制：为全量扫描设置超时（如 30 分钟），避免因仓库膨胀导致 Runner 挂死。
• 重试机制：定时触发的全量扫描若失败，应自动重试 1 次；增量扫描失败则回退为全量扫描。
• 日志审计：每次触发都应记录触发类型、扫描模式、条件表达式结果，便于事后溯源。
• 并行限流：避免同一仓库的多个 PR 同时触发全量扫描，可配置互斥锁或队列。