苏州华克斯公司-源代码检测工具fortify sca

Fortify SCA是自动静态代码分析可帮助开发人员消除漏洞，并构建安全的软件。

主要功能

1、通过集成式 SAST，安全编码；通过与 IDE 集成，开发人员可以在编码过程中实时发现并修复安全缺陷。

2、覆盖开发人员使用的语言；获得、准确的语言覆盖范围，并实现合规性。

3、启动快速的自动化扫描；启动针对覆盖范围或速度优化过的自动化扫描。

4、以 DevOps 速度修复问题；利用我们丰富的分析结果，深入研究源代码详细信息，使您能够快速分类并修复复杂的安全问题。

5、在 CI/CD 中自动实现安全；自动化扫描，华南fortify sca，为开发人员保证安全。

6、扩展 AppSec 程序；借助快速、高度优化的静态扫描，保护自定义的开源代码。

进行安全扫描_Fortify Sca自定义扫描规则

源代码编写

1. 编码规范尽量使用fortify认可的安全库函数，如ESAPI，使用ESAPI后fortify sca会把漏洞标记为低危，源代码检测工具fortify sca，是可以忽略的漏洞类型。以下是对常见漏洞的安全库函数

2. 使用注解(针对java)如果我们用过SonarQube，源代码审计工具fortify sca，我们会发现有两种修改代码的方式来解决误报。

注释

在被误判的代码行后面加上注释：//NOSONAR

String name = user.getName(); //NOSONAR

注解

在类或方法上面加上 @SuppressWarnings 注解

Fortify SCA 扫描

Fortify SCA 的结果文件为.FPR文件，包括详细的漏洞信息：漏洞分类，漏洞产生的全路径，漏洞所在的源代码行，漏洞的详细说明及修复建议等。

1、首先清除上一次扫描的缓存：

sourceanalyzer -b SCG-AuthCenter -clean

2、扫描、编译源码，需要执行依赖的jar包文件和源文件：

sourceanalyzer -encoding UTF-8 -Xmx1024M -b  DMC  -cp "D:/code/cct/DMC/src/main/webapp/WEB-INF/lib/**/*.jar" -source 1.6 "D:/code/cct/DMC/src/main/java/**/*.java"

3、生成fpr文件：

4、生成pdf文件：