將Fortify集成到構建過程

Question

我正在嘗試查看是否可以將Fortify掃描集成到我的構建過程中。我已經做了一些研究，但似乎無法找到來自Fortify審計工作臺的提取腳本。這是可能嗎？我應該只是建立一個批處理文件來完成這個？

Answer 1

構建您自己的批處理文件將是最好的方法。

你可以從HPE Security Fortify Static Code Analyzer User Guide和命令行的幫助文件掃描您的項目信息sourceanalyzer -h

這真的是一個三個步驟的過程

1. 清潔
2. 翻譯
3. 掃描

有例子a t幫助文件的頂部。

如果您願意，也可以使用掃描嚮導工具，但我個人不喜歡長期使用它進行構建集成。它創建了一個複雜的批處理文件，它專門指定了文件（所以如果新文件隨着時間的推移而添加，它將不會提取它們）。

如果您想了解審計工作臺上如何執行它會掃描，您可以添加以下命令選項： 「-verbose」 「-debug」 「-logfile」 「C：\ TEMP \ translate.log」或「C：\ TEMP \ scan.log」

然後你可以看一下該行的日誌文件，即「參數數量：」這將包含的參數列表（引號和分離逗號）的命令行參數傳遞給sourceanalyzer.exe。

有了這些信息，您可以創建一個批處理文件來運行並執行掃描。 （確保批處理文件具有前面提到的所有三個步驟）。

的圖形用戶界面只是對sourceanalyzer.exe

Answer 2

前端是，使用一個批處理腳本來做到這一點。

而不是嘗試從Audit Workbench複製命令，請使用掃描嚮導。這是專門解決這個問題的工具。您將它指向您的項目，回答一些問題，並創建一個腳本。選中一個框，它也會上傳到SSC。

掃描嚮導位於/ bin中。它也可能位於Audit Workbench旁邊的開始菜單中。

注意：有時我必須修改腳本。但是，如果您可以使用Visual Studio中的Fortify按鈕進行掃描，那麼默認腳本通常可以工作。

Answer 3

您可以使用HP SCA的maven插件。它將作爲HP SCA安裝的一部分（在plugins文件夾下）捆綁在一起，並且需要安裝在您的Maven中。請注意，SCA插件未列出Maven存儲庫，因此需要安裝到本地存儲庫中。