java - 缺少 jar 会影响 Fortify 扫描结果吗？

Question

我尝试使用 Fortify 静态代码分析扫描纯 .java 文件，但经常收到一条错误消息，指出我没有包含完整的 jar 列表。

“无法解析以下对 java 类的引用。请确保向 SCA 提供包含这些类的所有必需的 jar 文件。”

我的问题是它会影响扫描结果吗？这个警告值得认真对待吗？ (因为我的扫描仍在进行；)

Answer 1

从基本原则出发思考这个问题，而不是从产品或应用程序的知识出发:

据推测，Fortify 会扫描它能看到的代码，因此会返回一些有用的结果。然而，由于它无法看到所有代码，因此无法完成完整的工作。

不知道Fortify有多聪明，它对于抽象工厂之类的东西有什么作用？这种设计模式可以有效地在运行时确定实际使用哪些类，因此您可以根据可用的 jar 获得完全不同的应用程序行为。

底线:鉴于您的应用程序可以在某个地方运行，为什么您不能将所有 JAR 文件放在一起，让 Fortify 有机会完成更完整的工作？