如何在含多微服务的GitLab仓库中配置Web API Fuzzing？

针对单仓库多微服务、每个服务有独立OpenAPI规范的场景，有几种成熟的GitLab CI配置方案可以实现每个服务的独立API Fuzzing：

方案1：利用Parallel矩阵批量生成任务 #

适合服务配置差异小的场景，通过矩阵遍历自动为每个服务创建独立的Fuzzing Job：

api_fuzzing:
  stage: fuzz
  image: registry.gitlab.com/gitlab-org/security-products/api-fuzzing:latest
  parallel:
    matrix:
      - SERVICE_NAME: ["user-service", "order-service", "payment-service"]
        OPENAPI_PATH: ["services/user/openapi.yaml", "services/order/openapi.yaml", "services/payment/openapi.yaml"]
  variables:
    FUZZAPI_OPENAPI: $OPENAPI_PATH
    FUZZAPI_TARGET_URL: "https://${SERVICE_NAME}.your-test-domain.com"
  script:
    - /home/gitlab/fuzzapi-run.sh
  artifacts:
    reports:
      api_fuzzing: gl-api-fuzzing-report-${SERVICE_NAME}.json

优势：一次定义即可覆盖所有服务，Job自动拆分，结果按服务区分展示，维护成本低。

方案2：为每个服务创建独立Job #

适合服务间有特殊配置需求（比如不同认证方式、超时设置）的场景，逐个定义Job实现完全自定义：

# 用户服务Fuzzing
user-service-fuzz:
  stage: fuzz
  image: registry.gitlab.com/gitlab-org/security-products/api-fuzzing:latest
  variables:
    FUZZAPI_OPENAPI: "services/user/openapi.yaml"
    FUZZAPI_TARGET_URL: "https://user-service.your-test-domain.com"
    FUZZAPI_AUTH_TOKEN: "${USER_SERVICE_AUTH_TOKEN}" # 服务专属认证变量
  script:
    - /home/gitlab/fuzzapi-run.sh
  artifacts:
    reports:
      api_fuzzing: gl-api-fuzzing-report-user.json

# 订单服务Fuzzing
order-service-fuzz:
  stage: fuzz
  image: registry.gitlab.com/gitlab-org/security-products/api-fuzzing:latest
  variables:
    FUZZAPI_OPENAPI: "services/order/openapi.yaml"
    FUZZAPI_TARGET_URL: "https://order-service.your-test-domain.com"
    FUZZAPI_MAX_RUNTIME: 300 # 自定义超时时间
  script:
    - /home/gitlab/fuzzapi-run.sh
  artifacts:
    reports:
      api_fuzzing: gl-api-fuzzing-report-order.json

优势：每个Job可单独配置参数，灵活适配服务个性化需求，排查问题时定位更精准。

方案3：使用CI模板复用配置 #

兼顾复用性和灵活性，先定义通用模板，再为每个服务继承模板并覆盖差异变量：

# 定义通用Fuzzing模板
.template-api-fuzzing: &template-api-fuzzing
  stage: fuzz
  image: registry.gitlab.com/gitlab-org/security-products/api-fuzzing:latest
  script:
    - /home/gitlab/fuzzapi-run.sh
  artifacts:
    reports:
      api_fuzzing: "gl-api-fuzzing-report-${SERVICE_NAME}.json"

# 用户服务继承模板
user-service-fuzz:
  <<: *template-api-fuzzing
  variables:
    SERVICE_NAME: "user"
    FUZZAPI_OPENAPI: "services/user/openapi.yaml"
    FUZZAPI_TARGET_URL: "https://user-service.your-test-domain.com"

# 订单服务继承模板
order-service-fuzz:
  <<: *template-api-fuzzing
  variables:
    SERVICE_NAME: "order"
    FUZZAPI_OPENAPI: "services/order/openapi.yaml"
    FUZZAPI_TARGET_URL: "https://order-service.your-test-domain.com"

优势：减少重复代码，同时保留每个服务的配置灵活性，适合中等规模的微服务集群。

关键注意事项 #

• 服务可访问性：确保Fuzzing Job运行时，目标微服务已部署到测试环境或在CI中启动了服务容器。
• 敏感变量管理：认证令牌等敏感信息需存储在GitLab项目的CI/CD变量中，禁止硬编码。
• 报告唯一性：每个Job的报告文件名需唯一，避免相互覆盖，确保GitLab能展示每个服务的独立扫描结果。
• 资源控制：若服务数量较多，可在parallel中添加limit参数限制同时运行的Job数量，防止资源耗尽。

内容的提问来源于stack exchange，提问作者Muttonchop