fortify-华克斯-fortify静态代码分析

进行安全扫描_fortify sca自定义扫描规则

前言代码安全扫描是指在不执行代码的情况下对代码进行评估的过程。代码安全扫描工具能够探查大量“if——then——”的假想情况，而不必为所有这些假想情况经过---的计算来执行这些代码。

那么代码安全扫描工具到底应该怎么使用？以下是参考fortify sca的作者给出的使用场景：

fortify扫描android项目

使用插件扫描是一个比较的方式，因为操作简单，且环境---不需要重新配置。

首先肯定是获取插件，应用程序安全测试工具，我们需要从安装fortify开始。如果已经安装了也不要紧，直接---安装到原有目录即可，fortify会自动适配的。安装步骤基本都使用默认选项，fortify---申请，但是在选择组件的环节，我们要记得勾选上我们需要的插件。

上图中红框是给android studio使用的插件，是本小节需要使用到的。第二个红框则是一个visual studio的插件，后面会用到，这里可以先勾选一下(但要记得visual studio的插件只能在visual studio已存在时安装，版本也不要选错)。安装后，可以在fortify安装目录下的plugins﹨intellij---ysis目录中找到我们需要的插件。

然后是第二步，fortify，将插件安装到android studio上。在android studio中打开插件的界面，选择设置的图标，然后选择install plugin from disk...选项，选中前面说到的插件文件。然后重启android studio即可生效。

生效后我们可以在android studio的栏中找到fortify选项，在fortify->;---ysis settings...选项中，我们可以配置该插件扫描源码的规则和配置。

蕞后，我们---fortify->;---yze project选项，即可扫描项目并在项目的根目录生成fpr文件