如何配置.snyk文件使过期忽略的漏洞自动触发构建失败？

你的核心问题在于.snyk配置文件的格式错误——expires和created字段被嵌套在了reason的文本块中，导致Snyk无法识别这些过期规则，自然不会在过期后触发构建失败。

修正后的.snyk配置文件 #

version: v1.25.0
ignore:
  <REDACTED>:
      - '*':
          reason: "This vulnerability should have a fix soon"
          expires: 2023-11-01T00:00:00.000Z
          created: 2023-10-11T00:00:00.000Z
  <REDACTED>:
      - '*':
          reason: "This vulnerability should have a fix soon"
          expires: 2023-11-13T00:00:00.000Z
          created: 2023-10-23T00:00:00.000Z
  <REDACTED>:
      - '*':
          reason: "This vulnerability will be addressed as a part of <TICKET>"
          expires: 2023-12-23T00:00:00.000Z
          created: 2023-06-23T00:00:00.000Z
patch: {}

关键说明 #

Snyk的忽略规则里，reason、expires、created是同级的独立配置项，不能把过期时间和创建时间塞进reason的文本里。原来的写法只是把这些字符串当成了理由的一部分，Snyk根本不会解析成有效的过期规则。

Azure Pipeline配置确认 #

你当前的Snyk任务配置已经满足要求：

• failOnIssues: true 会在检测到符合阈值的漏洞时触发构建失败
• severityThreshold: <SEVERITY> 只要设置的级别覆盖了过期漏洞的严重程度（比如漏洞是高风险，阈值不能设为仅critical），就会正常触发失败

不需要额外调整Pipeline配置，修正.snyk文件即可。

验证方法 #

• 手动修改某条规则的expires为过去的日期，运行Pipeline测试是否触发失败
• 本地执行snyk test --all-projects命令，确认过期的忽略规则已失效

内容的提问来源于stack exchange，提问作者Mick McCarthy