如何让Checkov分析Ansible角色时识别已声明的facts值？

在开发Ansible角色时，使用Checkov做静态分析遇到误报：通过ansible.builtin.set_fact定义的HTTPS变量，在URI模块中引用后，Checkov仍报告“未使用HTTPS URL”的错误，即使已经添加了--evaluate-variables True参数。

简化复现Playbook #

- name: Test checkov
  hosts: localhost
  tasks:
    - name: Set BASE_URL
      ansible.builtin.set_fact:
        BASE_URL: "https://localhost:1234/myportal"

    - name: call myportal
      ansible.builtin.uri:
        url: "{{ BASE_URL }}/CsrfGuardServlet"
        method: POST
        status_code: 200
        return_content: true
        headers:
          FETCH-CSRF-TOKEN: 1
        body_format: form-urlencoded
        body:
          _action: submit
      register: csrf_response
      no_log: true

执行命令及误报结果 #

执行命令：

$> checkov -f checkov_test.yaml --quiet --evaluate-variables True

得到误报：

ansible scan results:

Passed checks: 1, Failed checks: 1, Skipped checks: 0

Check: CKV2_ANSIBLE_1: "Ensure that HTTPS url is used with uri"
 FAILED for resource: tasks.ansible.builtin.uri.call myportal
 File: /checkov_test.yaml:9-22

                9  |     - name: call myportal
                10 |       ansible.builtin.uri:
                11 |         url: "{{ BASE_URL }}/CsrfGuardServlet"

解决方案 #

1. 将变量移至顶层vars块或独立变量文件 #

Checkov的变量解析对顶层定义的vars支持更完善，把BASE_URL移到playbook的vars部分，就能让Checkov正确识别变量值：

- name: Test checkov
  hosts: localhost
  vars:
    BASE_URL: "https://localhost:1234/myportal"
  tasks:
    - name: call myportal
      ansible.builtin.uri:
        url: "{{ BASE_URL }}/CsrfGuardServlet"
        method: POST
        status_code: 200
        return_content: true
        headers:
          FETCH-CSRF-TOKEN: 1
        body_format: form-urlencoded
        body:
          _action: submit
      register: csrf_response
      no_log: true

再次执行Checkov命令，即可通过CKV2_ANSIBLE_1检查。

2. 给特定任务添加Checkov跳过注释 #

如果必须保留set_fact的写法，可以在URI任务上方添加跳过注释，精准忽略该误报：

- name: Set BASE_URL
  ansible.builtin.set_fact:
    BASE_URL: "https://localhost:1234/myportal"

# checkov:skip=CKV2_ANSIBLE_1: URL使用HTTPS（变量由set_fact定义）
- name: call myportal
  ansible.builtin.uri:
    url: "{{ BASE_URL }}/CsrfGuardServlet"
    # 其余任务参数不变

3. 提交功能请求（长期方案） #

Checkov目前的静态分析能力暂时无法追踪跨任务的set_fact变量赋值，可以向Checkov官方提交Feature Request，请求增强对Ansible跨任务变量的解析支持。

内容的提问来源于stack exchange，提问作者bdepardon