缺少 jar 會影響 Fortify 掃描結果嗎？

Question

我正在嘗試使用 Fortify 靜態代碼分析來掃描純.java文件，並且經常收到一條錯誤消息，指出我沒有包含完整的 jar 列表。

“無法解析以下對 java 類的引用。請確保將包含這些類的所有必需 jar 文件提供給 SCA。”

我的問題是它會影響掃描結果嗎？ 這個警告值得認真對待嗎？ （因為我的掃描仍在繼續；）

Answer 1

從首要原則而不是產品或應用程序的知識來考慮這一點：

大概 Fortify 會掃描它可以看到的代碼，因此它會返回一些有用的結果。 但是，由於它無法看到所有代碼，因此無法完成完整的工作。

不知道Fortify能有多聰明，抽象工廠之類的東西是怎么做的？ 這樣的設計模式可以有效地在運行時確定實際使用了哪些類，因此您可以根據可用的 jar 獲得完全不同的應用程序行為。

底線：鑒於您的應用程序可以在某處運行，為什么您不能將所有 JAR 文件放在一起，讓 Fortify 有機會完成更完整的工作？

Answer 2

您可以獲得部分掃描和結果，但某些問題可能會被完全遺漏和/或風險較低。 如果您的代碼調用 JAR 文件中的函數，則 SCA 無法跟蹤進出函數的數據流。 因此，這些數據路徑進入黑洞並且不會返回任何結果。

最好不要有任何警告和可以編譯掃描的代碼。