fortify - 在多个 Maven 项目上运行 Fortify 扫描

Question

我有多个项目由一个父 pom 绑定(bind)。

如果我使用 Maven 强化插件在父 pom 上运行强化扫描，则会生成每个项目的 fpr 文件。我想为所有项目生成一个 fpr 文件。是否可以 ？

谢谢并恭祝安康，
索拉夫

Answer 1

您想要做的是聚合构建。尝试为每个模块设置相同的构建 ID，然后将 -Dfortify.sca.toplevel.artifactId 作为父 POM 的 artifactID 传递。这应该为您提供一个 FPR 文件。它应该看起来像:

mvn clean
mvn -Dfortify.sca.buildId=ACMEPortal com.fortify.ps.maven.plugin:sca-maven-plugin:<version>:clean
mvn -Dfortify.sca.buildId=ACMEPortal package com.fortify.ps.maven.plugin:sca-maven-plugin:<version>:translate
mvn -Dfortify.sca.Xmx=800M -Dfortify.sca.buildId=ACMEPortal -Dfortify.sca.toplevel.artifactId=AcmePortal com.fortify.ps.maven.plugin:sca-maven-plugin:<version>:scan