【发布时间】：2020-02-11 15:05:58
【问题描述】：
目前，我们正在使用 Checkmarx 扫描应用程序代码。不确定 Checkmarx 是否检测/扫描源代码中的任何硬编码密码。 Checkmarx 服务器上是否需要添加任何额外的配置来检测密码？
【问题讨论】：
-
有一个 checkmarx 规则可以检测到这一点
标签： checkmarx
【发布时间】：2020-02-11 15:05:58
【问题描述】：
不，您不需要配置 Checkmarx 来查找硬编码密码。
当然，Checkmarx 不知道您的密码，因此无法搜索。 它可以做的是搜索看起来像硬编码密码的东西，例如：
-
var password = "ab12"您声明一个名称可疑的变量并立即为其赋值。我们可以猜到ab12是您的密码。 -
var foo = "mypassword"您可能选择了一个非常糟糕的密码并将其放入代码中，或者该字符串是您密码的占位符，有一天您会忘记删除真正的密码。
另一种选择是自己编写查询，您必须询问贵公司负责 Checkmarx 的人员是否可以这样做。
但是，您打算如何编写查询？ 密码会被硬编码在里面吗？ ?
【讨论】：
-
请注意，此规则并未检测到我们可以称为密码的所有硬编码形式