进行安全扫描_FortifySca自定义扫描规则源代码编写1.编码规范尽量使用fortify认可的安全库函数，源代码检测工具fortify规则库，如ESAPI，使用ESAPI后fortifysca会把漏洞标记为低危，是可以忽略的漏洞类型。以下是对常见漏洞的安全库函数2.使用注解(针对java)如果我们用过SonarQube，我们会发现有两种修改代码的方式来解决误报。注释在被误判的代码行后面加上注释：//NOSONARStringname=user.getName();//NOSONAR注解在类或方法上面加上@SuppressWarnings注解C/C++源码扫描系列-Fortify篇环境搭建本文的分析方式是在Linux上对源码进行编译、扫描，源代码扫描工具fortify规则库，然后在Windows平台对扫描结果进行分析，所以涉及Windows和Linux两个平台的环境搭建。Windows搭建首先双击Fortify_SCA_and_Apps_20.1.1_windows_x64.exe安装安装完成后，把fortify-common-20.1.1.0007.jar拷贝Core﹨lib进行，fortify规则库，然后需要把rules目录的规则文件拷贝到安装目录下的Core﹨config﹨rules的路径下，该路径下保存的是Fortify的默认规则库。ExternalMetadata下的文件也拷贝到Core﹨config﹨ExternalMetadata目录即可执行auditworkbench.cmd即可进入分析源码扫描结果的IDE.fottify全名叫：FortifySCA，是HP的产品，是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，分析的过程中与它特有的软件安全漏洞规则集进行地匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并给予整理报告。FortifySCA支持的21语言，分别是如下图：苏州华克斯信息-fortify规则库由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司位于苏州工业园区新平街388号。在市场经济的浪潮中拼博和发展，目前华克斯在行业软件中享有良好的声誉。华克斯取得全网商盟认证，标志着我们的服务和管理水平达到了一个新的高度。华克斯全体员工愿与各界有识之士共同发展，共创美好未来。)