Checkov项目Serverless检查功能在3.2.334版本中的解析问题分析

问题概述

Checkov作为一款流行的基础设施即代码(IaC)静态分析工具，在其3.2.334版本中出现了Serverless框架检查功能的严重问题。当用户尝试对包含特定资源定义的serverless.yml文件进行扫描时，工具会抛出TypeError: unhashable type: 'DictNode'异常并崩溃。

技术背景

Checkov的Serverless检查功能通过解析serverless.yml文件中的资源定义来构建依赖图，进而执行各种安全检查。在3.2.334版本中，工具在处理Resources部分时，尝试将某些YAML节点(DictNode)作为字典键使用，而Python要求字典键必须是可哈希的类型，这导致了运行时错误。

问题表现

当用户运行Checkov 3.2.334版本扫描包含复杂资源定义的serverless.yml文件时，会观察到以下错误栈：

Traceback (most recent call last):
  File "checkov/main.py", line 522, in run
    self.scan_reports = runner_registry.run(...)
  File "checkov/common/runners/runner_registry.py", line 126, in run
    self.runners[0].run(...)
  File "checkov/serverless/runner.py", line 119, in run
    local_graph = self.graph_manager.build_graph_from_definitions(...)
  File "checkov/serverless/graph_manager.py", line 38, in build_graph_from_definitions
    local_graph.build_graph(render_variables=render_variables)
  File "checkov/serverless/graph_builder/local_graph.py", line 21, in build_graph
    self._create_vertices()
  File "checkov/serverless/graph_builder/local_graph.py", line 33, in _create_vertices
    self._create_vertex(...)
  File "checkov/serverless/graph_builder/local_graph.py", line 62, in _create_vertex
    if attribute in LINE_FIELD_NAMES:
TypeError: unhashable type: 'DictNode'

问题根源

错误发生在local_graph.py文件中，当工具尝试检查某个属性是否存在于LINE_FIELD_NAMES集合中时，该属性实际上是一个YAML字典节点(DictNode)，而非预期的字符串或可哈希类型。这表明在资源解析过程中，类型处理逻辑存在缺陷。

临时解决方案

目前可行的临时解决方案是回退到3.2.332版本，该版本不存在此问题。用户可以通过以下命令安装旧版本：

pip3 install "checkov==3.2.332"

影响范围

此问题影响所有使用Checkov 3.2.334版本扫描包含复杂资源定义的serverless.yml文件的用户，特别是那些使用Serverless Framework v4的项目。

技术建议

对于遇到此问题的用户，建议：

1. 暂时锁定Checkov版本为3.2.332
2. 关注Checkov项目的更新，等待修复版本发布
3. 检查serverless.yml文件中的资源定义，特别是那些使用外部引用的部分
4. 考虑简化复杂的资源定义结构，减少嵌套层级

总结

Checkov 3.2.334版本中的Serverless检查功能存在严重的解析问题，导致工具无法正确处理某些资源定义。开发团队需要修复类型处理逻辑，确保DictNode能够被正确转换为可哈希类型或采用其他适当的处理方式。在此期间，用户应使用3.2.332版本以避免此问题。