Fortify相比codeql的优势在于：商用工具，拥有许多预设规则，比较成熟。规则开发模式比较局限，但是对于某些特定场景的规则开发相对简单。适合大规模规则的扫描。Fortify是一款商业级的源码扫描工具，其工作原理和codeql类似，甚至一些规则编写的语法都很相似。HPFortifySCA采用的X-Tier数据流程分析技术，完整分析各种程序语言之执行流程、数据输入/输出及程序语法，即使同一个应用系统中包含了不同语言的源代码，也可以完整分析及串接。透过HPFortifySCA持续更新的检查规则（Rulepack），让蕞新的弱点可以被发现并修补，源代码检测工具fortify采购，使用者也可以自行定义审计规则，针对特殊程序编写规则或要求进行检查。FortifySCA安全合规问题规则定制《互联网个人信息保护指南》里指出重要数据在存储过程中应保密，包括但不限于鉴别数据和个人信息。而我们在实际审查中发现，有的应用为了排查问题方便，在服务器中间件Log里记录了用户的姓名、shenfenzheng号、yinhangka号、等敏感信息。这种问题可以通过自动化代码审查发现，而fortify默认的规则是无法识别shenfenzheng号这种信息的，我们可以新建CharacterizationRule来完成对shenfenzheng标识的识别1.增加对合规信息的识别2.定制漏洞描述和修复建议FortifySCA如何使用！安装fortify之后，打开界面：选择扫描他问要不要更新？如果你购买了可以选择YES。选择之后出现如下界面浏览意思是：扫描之后保存的结果保存在哪个路径。然后点击下一步。参数说明：1、enableclean:把上一次的扫描结果清楚，除非换一个buildID，不然中间文件可能对下一次扫描产生影响。2、enabletranslation:转换，把源码代码转换成nst文件3、64：是扫描64位的模式，fortify采购，sca默认扫描是32位模式。4、-Xmx4000m:4000M大概是4G，源代码审计工具fortify采购，制定内存数-Xmx4G：也可以用G定义这个参数建议加5、-encoding:定制编码，UTF-8比较全，工具解析代码的时候字符集转换的比较好，建议加，源代码扫描工具fortify采购，如果中文注释不加会是乱码。6、-diable-source-:rendering:不加载与漏洞无关的代码到审计平台上，不建议加，这样代码显示不全。苏州华克斯-fortify采购由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司是从事“Loadrunner,Fortify,源代码审计,源代码扫描”的企业，公司秉承“诚信经营，用心服务”的理念，为您提供更好的产品和服务。欢迎来电咨询！联系人：华克斯。)