将Fortify集成到构建过程

Question

我正在尝试查看是否可以将Fortify扫描集成到我的构建过程中。我已经做了一些研究，但似乎无法找到来自Fortify审计工作台的提取脚本。这是可能吗？我应该只是建立一个批处理文件来完成这个？

Answer 1

构建您自己的批处理文件将是最好的方法。

你可以从HPE Security Fortify Static Code Analyzer User Guide和命令行的帮助文件扫描您的项目信息sourceanalyzer -h

这真的是一个三个步骤的过程

1. 清洁
2. 翻译
3. 扫描

有例子a t帮助文件的顶部。

如果您愿意，也可以使用扫描向导工具，但我个人不喜欢长期使用它进行构建集成。它创建了一个复杂的批处理文件，它专门指定了文件（所以如果新文件随着时间的推移而添加，它将不会提取它们）。

如果您想了解审计工作台上如何执行它会扫描，您可以添加以下命令选项： “-verbose” “-debug” “-logfile” “C：\ TEMP \ translate.log”或“C：\ TEMP \ scan.log”

然后你可以看一下该行的日志文件，即“参数数量：”这将包含的参数列表（引号和分离逗号）的命令行参数传递给sourceanalyzer.exe。

有了这些信息，您可以创建一个批处理文件来运行并执行扫描。 （确保批处理文件具有前面提到的所有三个步骤）。

的图形用户界面只是对sourceanalyzer.exe

Answer 2

前端是，使用一个批处理脚本来做到这一点。

而不是尝试从Audit Workbench复制命令，请使用扫描向导。这是专门解决这个问题的工具。您将它指向您的项目，回答一些问题，并创建一个脚本。选中一个框，它也会上传到SSC。

扫描向导位于/ bin中。它也可能位于Audit Workbench旁边的开始菜单中。

注意：有时我必须修改脚本。但是，如果您可以使用Visual Studio中的Fortify按钮进行扫描，那么默认脚本通常可以工作。

Answer 3

您可以使用HP SCA的maven插件。它将作为HP SCA安装的一部分（在plugins文件夹下）捆绑在一起，并且需要安装在您的Maven中。请注意，SCA插件未列出Maven存储库，因此需要安装到本地存储库中。