Nexus制品晋级审批流设计 - 第4节
4.1 Nexus IQ Server 概述与核心功能
Nexus IQ Server 是 Sonatype 推出的企业级制品安全与合规策略引擎，专门用于在制品晋级流程中执行自动化策略评估。它与 Nexus Repository Manager 深度集成，形成“存储 + 策略”双引擎架构，是制品晋级审批流中不可或缺的策略决策中心。
核心定位：IQ Server 不存储制品，而是通过策略引擎对制品的组件安全、许可证合规、架构健康度进行实时评分，输出“通过/警告/失败”决策，驱动晋级流水线自动推进或阻断。
4.1.1 IQ Server 功能矩阵
| 功能域 | 具体能力 | 在审批流中的作用 |
|---|---|---|
| 组件安全扫描 | 基于 NIST/CVE 数据库、Sonatype 安全研究数据，检测已知漏洞 | 阻断含高危/严重漏洞的制品晋级 |
| 许可证合规 | 识别 200+ 开源许可证类型，支持自定义许可证策略 | 防止违规许可证制品进入生产环境 |
| 策略管理 | 创建策略标签、策略集、策略规则，支持条件组合与权重 | 定义晋级门槛（如：漏洞数≤5 且无 Copyleft 许可证） |
| 应用与阶段管理 | 将制品映射到“应用”，每个应用可定义多个阶段（如 Develop/Staging/Release） | 实现分阶段晋级策略差异化 |
| 报告与审计 | 生成 PDF/HTML 合规报告，记录每次评估快照 | 提供审批流审计证据 |
| Webhook 与 API | REST API 全量覆盖，支持事件驱动回调 | 触发 CI/CD 流水线中的晋级/回滚动作 |
4.1.2 IQ Server 架构组件
IQ Server 采用分层架构，核心组件包括：
- IQ Server 服务端：策略引擎核心，负责解析策略、执行评估、生成报告。
- IQ CLI / Maven 插件 / Gradle 插件：本地扫描工具，在构建阶段提前发现组件风险。
- IQ Data Store：存储策略定义、评估历史、应用配置，支持 PostgreSQL 或嵌入式 H2。
- IQ 用户界面：Web 控制台，用于策略配置、报告查看、仪表盘监控。
4.2 IQ Server 与 Nexus Repository Manager 的集成方式
IQ Server 与 Nexus Repository Manager 的集成采用“松耦合、策略驱动”模式，通过 IQ 集成插件 实现双向通信。集成后，Nexus Repository Manager 中的制品操作（上传、下载、晋级）均可触发 IQ Server 策略评估。
4.2.1 集成架构
- Nexus Repository Manager 端：安装 IQ 集成插件（内置或手动部署），配置 IQ Server 连接地址与认证凭据。
- IQ Server 端：创建“应用”并关联 Nexus 仓库，定义策略集与阶段映射。
- 通信协议：HTTPS + API 认证，评估请求通过 REST API 提交，结果异步回调。
4.2.2 集成配置步骤
| 步骤 | 操作 | 说明 |
|---|---|---|
| 1 | 安装 IQ 集成插件 | 在 Nexus Repository Manager 的 nexus.properties 中配置 IQ Server URL |
| 2 | 创建 IQ 应用 | 在 IQ Server UI 中创建应用，填写应用 ID 和名称 |
| 3 | 关联仓库 | 在 IQ 应用配置中绑定 Nexus 仓库（如 maven-releases、npm-hosted） |
| 4 | 定义策略集 | 创建策略标签（如 Security、License），组合成策略集 |
| 5 | 配置阶段映射 | 将 Nexus 仓库的晋级路径映射到 IQ 阶段（如 develop → staging → release） |
| 6 | 验证集成 | 上传测试制品，检查 IQ Server 是否收到评估请求并返回结果 |
最佳实践：建议在 Nexus Repository Manager 中为每个制品晋级阶段（如 develop、staging、release）分别创建独立的 IQ 应用，以便为不同阶段设置差异化的策略门槛。例如，develop 阶段允许中等漏洞，但 release 阶段必须零漏洞。
4.3 IQ Server 在审批流中的作用
在制品晋级审批流中，IQ Server 充当 自动化策略决策节点，将人工审批从重复性安全检查中解放出来，聚焦于业务层面的审核。其作用可归纳为三个核心环节：
4.3.1 评估触发点
IQ Server 评估可在以下时机自动触发：
- 制品上传时：制品进入 Nexus 仓库时立即执行策略评估，阻断不合规制品入库。
- 制品晋级时：从 develop 晋级到 staging，或从 staging 晋级到 release 时触发评估。
- 定时扫描：对已存储的制品进行周期性重新评估（应对新披露的漏洞）。
- 手动触发：通过 IQ Server UI 或 API 对指定制品执行按需评估。
4.3.2 决策输出与审批流联动
IQ Server 评估结果包含三个等级，直接映射到审批流动作：
| 评估结果 | 策略含义 | 审批流动作 |
|---|---|---|
| Pass | 所有策略规则均满足 | 自动放行，进入下一审批节点或直接晋级 |
| Warning | 存在低风险违规，但未达到阻断阈值 | 允许晋级，但标记为“需人工确认”，触发通知 |
| Fail | 存在高危漏洞或严重许可证违规 | 阻断晋级，自动回滚或锁定制品，触发告警 |
4.3.3 审批流中的位置
IQ Server 通常位于审批流的 前置自动化检查阶段，在人工审批之前执行。典型流程如下：
- 开发者推送制品到 Nexus Repository Manager。
- Nexus 自动调用 IQ Server 执行策略评估。
- IQ Server 返回评估结果（Pass/Warning/Fail）。
- 若结果为 Pass，自动进入下一阶段（如人工审批或自动晋级）。
- 若结果为 Warning，触发通知，等待人工确认后继续。
- 若结果为 Fail，阻断流程，通知开发团队修复。
关键提醒：IQ Server 的评估结果应作为审批流的 硬性前置条件，而非可选步骤。若允许跳过 IQ 评估直接晋级，将导致安全策略形同虚设。建议在 CI/CD 流水线中配置：若 IQ 评估失败，流水线立即终止并返回非零退出码。
4.3.4 审批流中的策略差异化示例
不同晋级阶段可配置不同的策略阈值，实现渐进式安全管控：
| 晋级阶段 | 策略要求 | 审批流行为 |
|---|---|---|
| Develop → Staging | 无 Critical 漏洞，无 Copyleft 许可证 | 自动晋级，仅记录日志 |
| Staging → Release | 零漏洞，所有许可证已审批，组件年龄≥7天 | 自动评估 + 人工审批确认 |
| Release → Production | 零漏洞，零警告，许可证白名单匹配 | 自动评估 + 双人审批 + 变更管理 |
通过 IQ Server 的策略引擎，企业可以将安全合规要求直接编码为自动化规则，嵌入制品晋级审批流的每一个环节，实现从“人工检查”到“策略驱动”的转变，大幅提升审批效率与合规一致性。