缺少瓶子會影響Fortify掃描結果嗎？

Question

我正在嘗試使用Fortify sca掃描純.java文件，並經常收到一條錯誤消息，說我沒有包含完整的jar列表。

「以下對java類的引用無法解析，請確保將包含這些類的所有必需jar文件提供給SCA。」

我的問題是會影響掃描結果嗎？這是警告要認真對待嗎？ （因爲我的掃描正在進行;）

乾杯。

Answer 1

這個從第一原理，而不是產品或應用程序的知識思考：

想必Fortify的將掃描的代碼就可以看出，所以它會返回一些有用的結果。但是，由於它無法看到所有的代碼，因此無法完成一項完整的工作。

我不知道Fortify能有多聰明，它對抽象工廠等事情有什麼作用？這樣的設計模式可以有效地確定實際使用哪些類的運行時間，因此您可以根據可用的瓶子獲得截然不同的應用程序行爲。底線：考慮到你的應用程序可以在某個地方運行，爲什麼你不能把所有的JAR文件放在一起，讓Fortify有機會做一個更完整的工作？

Answer 2

您可以獲得部分掃描和結果，但有些問題可能完全錯過和/或風險較低。如果您的代碼在JAR文件中調用函數，則SCA無法跟蹤數據流進出功能。因此這些數據路徑進入黑洞並且沒有結果返回。

總是最好沒有警告和代碼將編譯進行掃描。