在 .dll 文件和 .cs 上运行 Fortify

Question

现有问题的.NET 版本Can I run fortify on .jar files instead of .java?

我的团队正在使用 Fortify 5.15.0.0060。我们正在 Visual Studio 中扫描 .NET 项目，项目设置显示以下命令行参数：

-vsversion 10.0 "-b" "project" "-machine-output" "-scan" "-f" "C:\Users\user\AppData\Local\Fortify\VS2010-3.80\project\Scan.fpr" "-format" "fpr" 

这突出了我们的 .cs 源代码文件中的问题，但似乎没有查看构成我们解决方案一部分的 DLL（并且这些 DLL 与我们的二进制文件一起复制到我们的输出目录）。对于其中许多库，我们无法访问 .pdb 文件，但希望 Fortify 能够进行有限的扫描。

是否可以添加命令行参数来包含 DLL 文件，有/没有 PDB 文件？

Answer 1

对于 .Net，Fortify 只能扫描具有 .pdb 的程序集，因为它使用 ildasm.exe 反编译程序集，然后使用 .pdb 匹配源文件。不幸的是，您无法扫描这些额外的程序集。

如果您有 .pdb 文件，您可以让 Fortify 扫描它们，但是您可能无法在结果中看到完整的源代码。要包含这些程序集，您需要在翻译选项中指定它们。如果你是从命令行做这一切，那么你会这样做：

sourceanalyzer -b project -vsversion 10.0 projectPath\Additional.Assembly.1.dll projectPath\Additional.Assembly.2.dll projectPath\Additional.Assembly.3.dll
sourceanalyzer -b project -scan -f MyResults.fpr

如果您尚未更新您的 Fortify 版本，我强烈建议您这样做。