Fortify扫描Android项目
使用插件扫描是一个比较推荐的方式，因为操作简单，且环境可靠不需要重新配置。
首先肯定是获取插件，我们需要从安装Fortify开始。如果已经安装了也不要紧，直接点击安装到原有目录即可，Fortify会自动适配的。安装步骤基本都使用默认选项，但是在选择组件的环节，我们要记得勾选上我们需要的插件。
上图中红框是给Android Studio使用的插件，是本小节需要使用到的。第二个红框则是一个Visual Studio的插件，后面会用到，这里可以先勾选一下(但要记得Visual Studio的插件只能在Visual Studio已存在时安装，版本也不要选错)。安装后，可以在Fortify安装目录下的plugins\IntelliJAnalysis目录中找到我们需要的插件。
然后是第二步，将插件安装到Android Studio上。在Android Studio中打开插件的界面，选择设置的图标，然后选择Install Plugin from Disk...选项，选中前面说到的插件文件。然后重启Android Studio即可生效。
生效后我们可以在Android Studio的标题栏中找到Fortify选项，在Fortify->Analysis Settings...选项中，我们可以配置该插件扫描源码的规则和配置。
蕞后，我们点击Fortify->Analyze Project选项，即可扫描项目并在项目的根目录生成fpr文件
Fortify “Function（函数）”面板：
Function（函数）面板显示了项目中的函数/方法列表。使用“Function（函数）”面板可找出该函数在源代码中的位置，了解函数是否应用和匹配某个规则，以及编写和验证自定义规则。
“Function（函数）”面板具有以下选项：
Show（显示）：确定显示在该列表中的函数。
Group by（分组方式）：将函数归类到各个包和类中，显示层次结构或直接显示所有函数而不进行分组。
Include unused funct（包括未使用的函数）：显示源代码中的每个函数。默认情况下，列表中不会包含未使用的函数。
C/C++源码扫描系列- Fortify 篇
环境搭建
本文的分析方式是在 Linux 上对源码进行编译、扫描，然后在 Windows 平台对扫描结果进行分析，所以涉及 Windows 和 Linux 两个平台的环境搭建。
Windows搭建
首先双击 Fortify_SCA_and_Apps_20.1.1_windows_x64.exe 安装
安装完成后，把 fortify-common-20.1.1.0007.jar 拷贝 Core\lib 进行，然后需要把 rules 目录的规则文件拷贝到安装目录下的 Core\config\rules 的路径下，该路径下保存的是Fortify的默认规则库。
ExternalMetadata 下的文件也拷贝到 Core\config\ExternalMetadata 目录即可
执行 d 即可进入分析源码扫描结果的IDE.
Fortify SCA基本功能
1、能对软件源代码进行的检测和分析，准确的发现源代码中存在的安全漏洞和质量问题，并提供问题的有效解决建议。帮助开发人员快速的完成漏洞修复及提高应用的安全性。
2、软件能从多维度分析源代码，包括但不限于：
数据流引擎：跟踪, 记录并分析程序中的数据传递过程所产生的安全问题。
语义引擎：分析程序中不安全的函数, 方法的使用的安全问题。
结构引擎：分析程序上下文环境, 结构中的安全问题。
控制流引擎：分析程序特定时间, 状态下执行操作指令的安全问题。
配置引擎：分析项目配置文件中的敏感信息和配置缺失的安全问题
以上信息由专业从事源代码扫描工具fortify价格表的华克斯于2025/5/20 22:37:58发布
转载请注明来源：http://www.zhizhuke.cn/qyzx/qyxx-2863771397.html
