c++ - 在 Qt 代码上使用 Fortify SCA(未过时 "HP Fortify")

Question

我一直在尝试研究这个问题，而我有限的编译经验阻碍了我解决这个问题的能力。

基本上，我有一些代码是用 Qt Creator 编写的，然后用这些构建步骤构建:

qmake.exe [project name].pro -spec win32-msvc "CONFIG+=qtquickcompiler"
jom.exe in C:\eclipseworkspace\[project directory]

我想使用 Fortify SCA(静态代码分析器)来自动扫描此代码中的漏洞，但它的大多数用户友好功能都是针对 Java 设计的。不过，我并没有放弃，因为 Fortify 确实声称能够扫描使用 3rd Party Compilers 的 C++ 代码(我认为 Qt 属于该类别)。
( this 文档的第 37 页)

作为在我的实际代码上运行 Qt Creator 的初步步骤，我想看看我是否至少可以让它在任何 Qt 示例项目上运行，看看这样做的步骤是什么。

我正在使用 Qt 5.12.7
在 Windows 10 操作系统上
使用 MSVC2017 32 位编译器，
但我觉得 Qt 和 Fortify 之间的任何相关性都足以让我朝着正确的方向前进。

或者也许我的乐观是错误的，我只是不明白我想做的事情的局限性。不管怎样，很高兴知道。

Answer 1

我发现这在 Linux 上是最简单的。我认为这个解决方案可以转化为 Windows。

您必须将 sourceanalyzer 注入(inject)您的编译器命令。
例如，我运行 cmake 来配置我的项目。

export CC="sourceanalyzer -b <your_project_name_here> gcc"
export CXX="sourceanalyzer -b <your_project_name_here> g++"
cmake <bunch of my cmake definitions> <path_to_src>
# I do a clean to remove what sourceanalyzer picks up during configuration time tests.
sourceanalyzer -b <your_project_name_here> -clean
sourceanalyzer -b <your_project_name_here> -scan -f scanResults.fpr