Fortify sourceanalyzer命令详细说明

sourceanalyzer是 Fortify SAST的核心命令行工具，其主要功能是扫描源代码或二进制文件，识别安全漏洞（如SQL注入、XSS、缓冲区溢出等）、代码质量缺陷，并生成可审计的报告。

以下从核心功能、常用命令选项、典型使用场景和注意事项四个维度详细说明。

一、核心功能

1. 代码扫描：支持 Java、C/C++、C#、Python、JavaScript、PHP 等数十种编程语言，解析代码语法并构建抽象语法树（AST）。
2. 漏洞检测：基于内置的安全规则库（如OWASP Top 10、CWE Top 25），结合数据流分析、控制流分析等技术，定位潜在安全风险。
3. 构建感知：集成主流构建工具（Maven、Gradle、Ant、Makefile等），理解项目依赖关系，提升扫描准确性（如识别第三方库漏洞）。
4. 结果输出：生成中间格式文件（.fpr）和可视化报告（HTML、PDF、Excel等），包含漏洞详情、风险等级、修复建议。

二、常用命令选项

sourceanalyzer 命令的基本格式为：

sourceanalyzer [全局选项] [操作类型] [操作参数]

1. 全局通用选项

2. 扫描操作（核心场景）

扫描操作需指定输入源（代码目录、构建命令、二进制文件等），常见模式包括：

（1）直接扫描源代码目录

sourceanalyzer -b <构建标签> [-clean] <源代码目录或文件列表>

• -b <标签>：为本次扫描指定唯一标签（如 myapp-202409），用于后续关联中间文件和报告。
• -clean：清理之前同标签的扫描缓存（强制重新扫描，避免旧数据干扰）。

示例：扫描Java项目 src/main/java 目录，标签为 myapp-scan：

sourceanalyzer -b myapp-scan -Xmx4G src/main/java

（2）集成构建工具扫描（推荐）

通过调用构建工具（如Maven、Gradle）触发编译，并在编译过程中收集代码信息（更准确，支持依赖解析）。

• Maven集成：

  sourceanalyzer -b myapp-scan mvn clean compile

• Fortify会自动拦截Maven的javac编译过程，提取代码和依赖信息。
• Gradle集成：

  sourceanalyzer -b myapp-scan gradle clean compileJava

• Ant集成：

  sourceanalyzer -b myapp-scan ant compile

（3）扫描二进制/字节码文件

适用于已编译的项目（如JAR、WAR、DLL），需指定类路径（Classpath）：

sourceanalyzer -b myapp-scan -cp "lib/*.jar" -scan <二进制文件或目录>

• -cp：指定类路径（多个路径用;或:分隔，Windows用;，Linux/macOS用:）。

3. 中间文件与报告生成

扫描完成后，会生成 .fpr 格式的中间文件（Fortify Project File），包含扫描结果。通过以下命令生成可视化报告：

（1）生成报告

sourceanalyzer -b <标签> -f <报告路径> -format <格式> [报告选项]

• <格式>：支持 html、pdf、excel、csv 等。
• 常用报告选项：

-Dreport.template=<模板路径>：自定义报告模板（需提前准备XML模板）。-Dreport.showSummary=true：显示漏洞统计摘要。-Dreport.severity=High,Medium：仅输出高风险和中风险漏洞。

示例：生成HTML报告到 reports/myapp.html：

sourceanalyzer -b myapp-scan -f reports/myapp.html -format html

（2）导出/导入中间文件

• 导出 .fpr 文件（用于离线分析或上传SSC）：

  sourceanalyzer -b myapp-scan -export <输出.fpr路径>

• 导入已有 .fpr 文件（用于合并多模块扫描结果）：

  sourceanalyzer -b myapp-scan -import <输入.fpr路径>

4. 高级配置选项

三、典型使用场景示例

场景1：扫描Java Web应用并生成HTML报告

# 步骤1：扫描代码（集成Maven构建）

sourceanalyzer -b myapp-scan -Xmx4G -multi-threaded 8 mvn clean compile

# 步骤2：生成HTML报告（包含高风险漏洞）

sourceanalyzer -b myapp-scan -f reports/myapp_high_risk.html -format html -Dreport.severity=High

场景2：扫描C++项目并排除第三方库

sourceanalyzer -b cpp-app-scan \  -exclude "third_party/**" \  # 排除第三方库  -source c++17 \             # 指定C++17标准  -cp "/usr/local/lib/*" \    # 指定链接库路径  src/                        # 扫描源代码目录

四、注意事项

1. 版本兼容性：sourceanalyzer 版本需与Fortify SSC服务器版本匹配（如SSC 22.1需使用6.40+的SCA版本），否则可能导致报告上传失败。
2. 性能优化：
   • 大项目建议启用多线程（-multi-threaded）和增量扫描（-incremental）。
   • 分配足够内存（-Xmx），建议至少4GB（复杂项目需8GB+）。
3. 扫描准确性：
   • 优先通过构建工具集成扫描（如Maven/Gradle），而非直接扫描源码目录，避免遗漏编译时依赖。
   • 排除测试代码（-exclude "src/test/**"），减少误报。
4. 日志排查：若扫描失败，使用 -debug -logfile scan.log 生成详细日志，检查是否有编译错误、权限问题或规则冲突。
5. 规则定制：可通过 -Dfortify.ruleset=<自定义规则路径> 加载自定义安全规则（如企业内部合规要求）。

参考文档

• Fortify官方文档：Fortify Static Code Analyzer Documentation
• 命令行选项速查：运行 sourceanalyzer -help 查看完整选项列表。
• 规则与语言支持：Fortify Language Support Matrix

如果需要更具体的操作示例（如与CI/CD集成、特定语言扫描），可以进一步提问！

相关内容：

Fortify的软件安全缺陷分类法

Fortify SCA从命令行生成分析报告

Fortify SCA相关配置项说明