源代码检测工具fortify报告中文插件-华克斯

Fortify SCA乱码解决

1：单文件乱码解决方案

可通过Edit下Set Encoding设置。

2：修改Audit Workbench默认编码

找到d文件（D:﹨dev﹨Fortify﹨Fortify_SCA_and_Apps_20.1.1﹨Core﹨private-bin﹨awb﹨d）在蕞后这一行末添加-Dfile.encoding=utf-8，以规定其eclipse.exe默认使用utf-8编码。

备注：d 在 Audit Workbench 的 d 文件内可找到。

3：修改Fortify集成的eclipse默认编码

添加 fortify 的 eclipse 启动参数 -Dfile.encoding=utf-8

Fortify扫描Qt项目

Fortify对于C++类型的代码扫描需要结合编译指令实现，但Fortify支持的C++指令并不多，源代码检测工具fortify报告中文插件，所以有些类似使用Qt工具开发的项目就需要做一定调整来适配Foritfy的扫描。使用gcc或者cl级别的命令来实现会很麻烦，因为需要对于Qt的qmake工具运行逻辑有一定深入分析，熟知其生成的Makefile以来的环境和make工具，难度较大，所以更建议以Visual Studio的Fortify插件为入口，先将Qt项目转成Visual Studio项目，再使用插件扫描，这样就会容易很多。

我们简单介绍一下流程:

1、在Visual Studio中安装Qt Visual Studio Tools插件和Fortify插件。

2、在Qt插件的Qt Opt选项中配置编译套件，该套件位置可以在Qt对应版本下面，比如Qt﹨Qt5.12.8﹨5.12.8﹨msvc2017。

3、使用Qt插件的Open Qt Project File (.pro)...打开对应的Qt项目，并使用插件的Convert custom build steps to Qt/MSBuild选项，将项目转成vs项目，源代码检测工具fortify报告中文插件，并生成对应的.vcsproj文件。

测试能成功运行后，就可以使用Fortify进行扫描了。步骤类似与上面的Android项目，即可生成对应的fpr文件。另外，fortify报告中文插件，如果想要使用命令来自动化的进行项目扫描，但不知道一个类型的项目如何进行适配，源代码扫描工具fortify报告中文插件，可以解压使用插件生成的fpr文件。查看其中audit.fvdl文件中的sun.mand属性内容，里面包含了该项目生成扫描中间文件的指令参数，可以参考了解如何配置自动化的扫描平台。

Fortify SAST 新增语言支持

提供27种以上的主要语言及其框架的准确支持和敏捷更新。之后将添加更多新的语言版本，从根本上改进、简化工作方式。以下语言更新已添加到 Fortify Static 代码分析器：

.NET

增加对 .NET 5.0、C# 9、 Blazor 语言和框架的支持。

MSBuild Support Update

增加对16.8和16.9版本的支持。

Go

增加对1.15和1.16版本的支持；增加对 GOPROXY 环境变量的支持。

Java

更新 JSP 翻译以减少误报；改进字节码分析。

JavaScript

增加对 TypeScript 4.1及Angular 10、11语言和框架的支持。

Kotlin

增加对 Kotlin 1.4.20版本的支持。

PHP

增加对 PHP 7.2、7.3、7.4及8.0版本的支持。

Python

增加对Python 3.9、Django 3.1语言和框架的支持。

Swift/Obj-C

增加对 Xcode 12.4版本的支持。

Operating Systems (Linux)

增加对以下 Linux 服务器的支持：1. SUSE Linux Enterprise Server 15

2. Red Hat Enterprise Linux 8.2

3. CentOS Linux 7.6-1810 and 8.2-2004

4. Ubuntu 20.04.1 LTS

Micro Focus Visual COBOL (Technology Preview)

增加对 Micro Focus Visual COBOL 6.0.版本的支持。

C/C++ (Technology Preview)

使用新的基于 Clang 的翻译改进对 C++11 结构的支持。