java - Fortify Source Analyzer 和 Apache Lenya

Question

我正在尝试将 Fortify Source Code Analyzer 用于我学校的一个研究项目，以测试开源 Java Web 应用程序的安全性。我目前正在研究 Apache Lenya。我正在使用最新的稳定版本 (Lenya v2.0.2)。

在根目录中有一个名为 build.sh 的文件。调用此文件以使用版本附带的 Ant 版本(在 tools/bin 文件夹中)构建 Lenya。当我运行 ./build.sh 时，我可以很好地构建 Lenya。因此，假设在 Fortify 中运行以下命令是可行的:

sourceanalyzer -b lenya -Xmx1200M touchless ./build.sh

但是，当我尝试运行时:

sourceanayzer -b lenya -Xmx1200M -scan -f lenya.fpr

我得到:

build id Lenya not found.

我查看了 buid.sh 文件并注意到它只是重置了当前的 ant home、classpath 和 ant options 变量，运行 ant build 命令，并将值重置回它们的值默认值。所以我手动重置所有变量(没有脚本)而不是运行脚本并运行:

sourceanalyzer -b lenya -Xmx1200M touchless tools/bin/ant -logger org.apache.tools.ant.NoBannerLogger

然后我跑了:

sourceanalyzer -b lenya -Xmx1200M -scan -f lenya.fpr

但是我得到了同样的错误。我不确定这是因为我做错了什么，还是 Fortify 做的不正确。任何见解都会很棒。

Answer 1

我不确定您是否可以访问 Fortify 文档，但这肯定会有所帮助。您应该引用 SCA 用户指南以了解如何使用 sourceanalyzer 可执行文件。

简而言之，有两种获取 FPR 文件的方法:

1. (漫长的道路)编写一个脚本，通过提供源代码的路径和 sourceanalyzer 可执行文件的类路径来翻译和分析源代码。
2. (简短的方法)使用 SCACompiler 而不是 javac 作为编译器。您需要为此修改构建脚本。

我更喜欢前者，因为它在处理大型代码库时具有可定制性。

PS:这是哪个版本的Fortify？