GitLab CI Android SAST作业mobsf-android-sast失败配置咨询

这个报错不是MobSF扫描规则、项目侧的MobSF配置遗漏导致的，项目侧不需要额外添加MobSF专属配置，GitLab官方SAST模板已经内置了所有扫描需要的默认参数。
核心错误点是分析器进程尝试访问localhost:8000的MobSF服务端接口时被拒绝连接，说明本地MobSF服务根本没有正常启动，或者服务还没完成就绪分析器就提前发起了请求。后续日志里提示找不到gl-sast-report.json是作业执行失败后的连带现象，不是根因。
你当前用的MobSF分析器v3.0.0版本本身存在已知的服务启动时序bug，加上你开启了SAST_EXPERIMENTAL_FEATURES开关，会触发分析器跳过服务启动就绪检查、甚至跳过本地MobSF服务拉起步骤，直接发起上传请求，最终触发连接拒绝。

按优先级依次操作即可：

• 移除不必要的实验特性配置：MobSF Android SAST扫描在GitLab 15.0之后的正式SAST模板中已经是稳定支持能力，不需要开启实验特性开关。直接把配置里的SAST_EXPERIMENTAL_FEATURES: "true"删除，或者显式设置为"false"，重新触发流水线，绝大多数同版本触发的问题可以直接解决。
• 升级存在bug的分析器版本，显式开启服务等待校验：如果关闭实验开关后问题仍然存在，在CI配置的variables块中追加以下配置，跳过有bug的v3.0.0版本，使用修复了时序问题的稳定版，同时强制分析器等待服务就绪后再发起请求：

variables:
  SAST_EXPERIMENTAL_FEATURES: "false"
  MOBSF_ANALYZER_IMAGE: "registry.gitlab.com/gitlab-org/security-products/analyzers/mobsf:3.1.2"
  MOBSF_WAIT_FOR_SERVICE: "true"

• 检查自建Runner的权限配置：如果使用的是自建GitLab Runner，确认执行SAST作业的Runner开启了特权模式（privileged: true）。MobSF分析器需要在作业容器内部拉起本地服务、监听回环端口，非特权模式下如果seccomp或安全策略拦截了本地端口监听/回环访问，也会出现连接被拒绝的问题。这种场景要么给SAST作业绑定特权模式的专用Runner标签，要么调整Runner的安全规则允许本地回环端口的访问。
• 兜底调试：如果以上操作都没解决，可以给mobsf-android-sast作业追加前置脚本，在执行/analyzer run前先执行ss -tulpn | grep 8000、ps aux | grep mobsf命令，确认MobSF服务进程是否正常拉起、端口是否正常监听，再针对性排查服务启动失败的具体原因，直接升级到最新稳定版分析器即可覆盖绝大多数已知启动问题。

内容的提问来源于stack exchange，提问作者Oceania Water