GitLab CI运行njsscan执行SAST无报错但Job失败退出码1解决方案

该问题不属于GitLab CI的原生缺陷，绝大多数同类故障由njsscan自身退出码规则、CI运行环境与手动执行环境的差异导致。

核心诱因 #

• njsscan默认退出码逻辑触发失败判定：njsscan默认规则为只要扫描到任意等级的安全风险，就会返回exit status 1，GitLab CI会将所有非0退出码直接判定为Job失败。如果CI运行时日志输出缓冲未及时刷新就终止进程，就会出现无明确错误提示的现象。本地手动执行正常但CI失败，常见原因是本地执行时扫描的代码版本与CI拉取的提交版本不一致，或本地命令携带了非阻断参数。
• CI Runner运行权限不足：自有服务器手动执行时通常使用高权限账号，GitLab CI Runner默认使用低权限服务账号运行，缺少扫描目录的读权限、njsscan缓存目录的写权限时，会直接静默退出返回1。
• 环境依赖不一致：CI环境未配置对应Node.js路径、njsscan版本和本地正常运行的版本不匹配、CI默认浅克隆导致代码文件不全，都会触发无提示的退出。

按排查优先级从高到低操作：

1. 强制开启全量日志输出，先定位具体触发点
   在CI执行njsscan的脚本前加set -x打印所有执行步骤，同时给njsscan命令加--verbose参数强制输出全量日志，避免日志缓冲导致的信息丢失，示例命令：

   set -x
   njsscan --verbose .
   

2. 调整退出码规则匹配CI流程
   如果不需要扫描到风险就直接阻断流水线，可以给njsscan加--no-fail参数，让程序无论是否扫到风险都返回0退出码：

   njsscan --no-fail -o njsscan-report.json .
   

   如果需要保留风险识别逻辑，可以手动捕获退出码做自定义处理，避免CI直接判定失败：

   exit_code=0
   njsscan . || exit_code=$?
   if [ $exit_code -eq 1 ]; then
     echo "扫描完成，检测到代码存在安全风险，请查看输出报告"
     # 此处可添加报告上传、通知逻辑
   fi
   

3. 对齐CI与本地运行环境
   • 固定njsscan安装版本，和本地服务器正常运行的版本完全一致，安装命令示例：pip install njsscan==<本地验证正常的版本号>
   • 扫描前修正目录权限，确保Runner账号有完整读写权限：

     chmod -R u+rw .
     mkdir -p .cache/njsscan
     chmod -R u+rw .cache
     

   • 关闭CI浅克隆配置，确保拉取完整代码仓库，在.gitlab-ci.yml的对应Job下添加变量配置：

     variables:
       GIT_DEPTH: "0"
     

内容的提问来源于stack exchange，提问作者Wahyu Riski