已排除Swagger文档但Checkov仍扫描该目录的问题排查

可能原因 #

• 全局 exclude 优先级不足：pre-commit 的全局 exclude 规则不一定能覆盖钩子自身的扫描逻辑，部分钩子（如 terraform_checkov）可能会忽略全局过滤，自行扫描仓库内符合其识别规则的文件。
• Checkov 文件类型误判：Swagger 文档（如 swagger.json/swagger.yaml）的格式可能被 Checkov 误识别为 IaC 配置文件（比如 CloudFormation 或 Kubernetes 清单），触发不必要的扫描。
• 钩子配置存在漏洞：即使指定了扫描 terraform/ 目录，若钩子的 files 正则匹配不够严格，或者未明确限制扫描范围，Checkov 仍可能递归扫描整个仓库。

解决方法 #

• 给钩子添加本地 exclude 规则：在 pre-commit 配置中，为 terraform_checkov 钩子单独设置 exclude，确保覆盖全局规则。示例配置：

  repos:
    - repo: https://github.com/bridgecrewio/checkov.git
      rev: 'v2.5.0'
      hooks:
        - id: terraform_checkov
          files: ^terraform/
          exclude: ^docs/
          args: ["--directory", "terraform/"]
  

• 强制限定 Checkov 扫描目录：通过钩子的 args 参数明确指定扫描目录，同时禁用默认的全仓库扫描逻辑。比如添加 --directory terraform/ 和 --skip-checkov-default-excludes 参数，确保只扫描目标目录。
• 配置 Checkov 忽略特定文件/目录：在仓库根目录创建 .checkov.yml 文件，添加排除规则：

  exclude_paths:
    - docs/
  # 或更精确地忽略Swagger文件
  # skip_fixes:
  #   - file: ^docs/.*\.swagger\.(json|yaml|yml)$
  

• 升级钩子版本：旧版本的 terraform_checkov 钩子可能存在路径过滤的 bug，升级到最新稳定版本可修复此类问题。

内容的提问来源于stack exchange，提问作者Woody1193