增强python项目的扫描

Question

热生成用于Python文件的Fortify文件。

一个类似的问题是Fortify，如何通过命令开始分析，但它列出了java的步骤。

要为python项目生成报告，必须使用--python-path。我尝试了以下步骤，但没有工作。

第一步：清洁，建造

sourceanalyzer -64 -Xms1024M -Xmx10000M -b -verbose -Dcom.fortify.sca.ProjectRoot=/local/proj/9999/ -Dcom.fortify.WorkingDirectory=/local/proj/9999/working -logfile  /local/proj/working/9999/working/sca.log  -clean

步骤2：扫描：此步骤应生成fpr文件

sourceanalyzer -b 9999 -verbose -Xms1024M -Xmx10000M -Dcom.fortify.sca.ProjectRoot=/local/proj/9999/ -Dcom.fortify.WorkingDirectory=/local/proj/9999/working  -logfile /local/proj/9999/sca.log -python-path /path/to/python -f projec_999.fpr /local/proj/**/*.py

这没有生成任何fpr文件。第二步给出如下警告：

[warning]: The -f option has no effect without the -scan option
[warning]: You may need to add some arguments to the -python-path argument to SCA.

我不确定我是否使用了正确的命令。

1. 如何确保在目录和子目录中扫描所有python文件？
2. 是否有添加多个python路径的选项？

Answer 1

您可以多次应用-python path。这就解决了使用哪种分离器的问题。可以使用python获得所需目录的列表：

import sys
print(sys.path)

Answer 2

您所做的第一步只清理而不是构建步骤。

要执行Python的翻译步骤，您需要为任何Python引用指定目录（-Python path）以及要翻译的文件。

我也不确定您对ProjectRoot和WorkingDirectory做了什么，您知道它们用于存储sourceanalyzer的临时数据/中间文件，而不是源代码的位置，对吗？

有点像

sourceanalyzer -b <buildId> -python-path <directories> <files to scan>'

示例命令看起来像：

sourceanalyzer -b MyApp -python-path %PYTHONPATH% ./MyApp/**/*

其他选项可以使用，它看起来像这样：

sourceanalyzer -b MyApp -Xms1024M -Xmx10G -logfile  /local/proj/working/9999/working/sca.log -python-path %PYTHONPATH% ./MyApp/**/*

在此步骤中，您将检查我们从您的程序中翻译了哪些文件：

sourceanalyzer -b MyApp -show-files

然后执行扫描命令

sourceanalyzer -b MyApp -logfile  /local/proj/working/9999/working/sca.log -scan -f project.fpr