在靜態代碼分析中對 .cs 文件使用 HP Fortify

Question

嗨，我一直在嘗試使用 Fortify 掃描向導來掃描未構建的 ac# 存儲庫，但我無法構建它。 Fortify 似乎沒有獲取 cs 文件/甚至無法找到它們。

我讀了一些帖子說，你只能在 1 時在 C# 項目上使用 Fortify。你可以編譯它並有一個 .pdb 文件； 或 2. 您必須在 Visual Studio 中使用 fortify 插件並構建它。

我只是想對一個 C# 項目做一個簡單的預編譯靜態代碼分析。 沒想到 Fortify 做不到。 如果有人能證實這一點，那就太好了。

Answer 1

使用最新版本的 HPE Fortify SCA 16.20（2016 年 12 月發布），SCA 將直接提取文件。 您不再需要具備編譯能力（VS 或 MSBUILD）或已經擁有已編譯的 .dll 和 .pdb 文件。

您仍然可以使用舊方法，但直接掃描文件是額外的。

Answer 2

從 SCA 文檔：

SCA 使用通用中間語言 (CIL)，因此支持所有編譯為 CIL 的 .NET 語言，包括 C# 和 VB .NET。

SCA sourceanalyzer 正在尋找 DLL（和相應的 PDB 文件），因此它不會選取源文件進行掃描。