华克斯-源代码审计工具fortify报告中文插件

micro focus fortify 系列解决方案

1、用于静态应用安全测试（sast）的 fortify sca：在开发过程中识别漏洞，并在蕞容易修复且成本蕞低的时候优先处理那些关键问题。扫描结果存储在 fortify ssc 中。

2、用于动态应用安全测试（dast）的 fortify webinspect：识别运行中的网络应用程序和网络服务的安全漏洞，并对其进行优先级排序；集成交互式应用程序安全测试（iast），源代码扫描工具fortify报告中文插件，扩大攻击面的覆盖范围以识别更多的漏洞。扫描结果可存储在 fortify ssc 中。

3、fortify 软件安全中心（ssc）：作为 appsec 平台帮助企业实现应用安全程序自动化。它为管理、开发和安全团队提供了一种共同工作的方式，以分类、---、验证和管理软件安全活动。

4、“应用安全即服务” fortify on demand：通过简单而灵活的方法，快速、准确地测试软件的安全性，无需额外资源，也无需安装和管理任何软件。

1、导航并查看分析结果

在您打开一个用来查看 fortify source code ---yzer (fortify sca) 所检测到的问题的 audit workbench 项目之后，fortify报告中文插件，您可以在 summary（摘要）面板中审计这些问题，以反映这些问题的---级别，以及对该问题执行的安全分析状态。

系统会按审计结果的---性以及准确性，对审计结果进行分组，并在默认情况下将问题识别为位于“issues（问题）”面板中的 hot（---）列表内。单击 warning（---）和 info（信息），查看分组在这些列表中的问题。

每个列表中的问题数量显示在相关按钮下面。

要检验与 issues（问题）面板中所列问题相关的代码，源代码扫描工具fortify报告中文插件，选中该问题。源代码部分包含显示在源代码查看器面板中的问题，并在面板的中显示文件所包含问题的名称。

2、审计结果分析

本练习将会引导您浏览一下在练习 3 中使用 fortify sca 分析小程序产生的结果。请您检查 fortify sca 中各种不同分析器所发现的问题，并比较 fortify sca 生成的各种不同输出格式。

请考虑 userserv.java 的内容：