HP Fortify的掃描問題：密碼管理：在HTML表格密碼

Question

我使用Fortify的軟件進行掃描我的web項目，並遇到了很大困難

問題：密碼管理：密碼的HTML表單

<input name="pin" type="password" data-rule-required="true" value="${pin}"> 

類型= 「密碼」可以讓我在HTML頁面中爲用戶顯示**

如何修改此問題？

Answer 1

刪除值將通過fortify軟件

Answer 2

Fortify可能會在結果中產生很多噪音，並且需要一點點才能找出什麼是真實的，哪些不是。它變得越來越好，但密碼錯誤肯定是非常錯誤的。只要標記一個壓制或「不是問題」。

Answer 3

Fortify在後端使用了許多不同的分析技術。有些更復雜，如數據和呼叫分析。其他人則是非常簡單的語法分析，尋找不安全的功能。

其中一個語法分析規則在源文件中的任何位置查找單詞「password」，推測它可能表示硬編碼密碼。但是，它通常只是一個名爲「password」/「pwd」或HTML部分的變量（如本例中那樣）。他們非常快速地審查，並將其標記爲「不是問題」並壓制，以便它們在未來的掃描中不會出現。