Укрепить интеграцию с Maven - установить

Question

Я хочу запустить проверку Fortify для проекта Maven Eclipse.

С какого места следует начать?

Я понимаю, что мне нужно обновить файл pom.xml, чтобы включить плагин Fortify, однако мне также требуется установить Fortify SCA на моем компьютере? (Я бегу MacOS X). Я пытался найти место для загрузки Fortify SCA, но не смог найти его.

Я был бы признателен, если бы кто-то мог поделиться некоторыми ссылками, чтобы указать мне в правильном направлении, чтобы завершить установку.

Answer 1

Я не думаю, что установка Fortify требуется, но без труда получить плагин maven sca довольно сложно. Если вы устанавливаете на другой компьютер, вы можете скопировать только плагин, но тогда у вас не было бы приложения Audit Workbench для работы с сгенерированным FPR. Как сказал @Eric, вы должны получить его через HP, и он не будет работать без лицензии.

После того, как вы получите, что установки вы добавить профили вашего pom.xml для выполнения АСС цели:

<profile> 
    <id>sca-clean</id> 
    <activation> 
    <activeByDefault>false</activeByDefault> 
    </activation> 
    <build> 
    <plugins> 
     <plugin> 
     <groupId>com.fortify.ps.maven.plugin</groupId> 
     <artifactId>sca-maven-plugin</artifactId> 
     <version>4.30</version> 
     <configuration> 
      <jre64>true</jre64> 
      <buildId>myproject</buildId> 
      <toplevelArtifactId>myproject.parent</toplevelArtifactId> 
      <skipTests>true</skipTests> 
     </configuration> 
     <executions> 
      <execution> 
      <goals> 
       <goal>clean</goal> 
      </goals> 
      </execution> 
     </executions> 
     </plugin> 
    </plugins> 
    </build> 
</profile> 


<profile> 
    <id>sca-translate</id> 
    <activation> 
    <activeByDefault>false</activeByDefault> 
    </activation> 
    <build> 
    <plugins> 
     <plugin> 
     <groupId>com.fortify.ps.maven.plugin</groupId> 
     <artifactId>sca-maven-plugin</artifactId> 
     <version>4.30</version> 
     <configuration> 
      <jre64>true</jre64> 
      <jreStack>8M</jreStack> 
      <maxHeap>12000M</maxHeap> 
      <verbose>true</verbose> 
      <buildId>myproject</buildId> 
      <toplevelArtifactId>myproject.parent</toplevelArtifactId> 
      <skipTests>true</skipTests> 
      <failOnSCAError>true</failOnSCAError> 
     </configuration> 
     <executions> 
      <execution> 
      <goals> 
       <goal>translate</goal> 
      </goals> 
      </execution> 
     </executions> 
     </plugin> 
    </plugins> 
    </build> 
</profile> 


<profile> 
    <id>sca-scan</id> 
    <activation> 
    <activeByDefault>false</activeByDefault> 
    </activation> 
    <build> 
    <plugins> 
     <plugin> 
     <groupId>com.fortify.ps.maven.plugin</groupId> 
     <artifactId>sca-maven-plugin</artifactId> 
     <version>4.30</version> 
     <configuration> 
      <jre64>true</jre64> 
      <jreStack>8M</jreStack> 
      <maxHeap>12000M</maxHeap> 
      <verbose>true</verbose> 
      <buildId>myproject</buildId> 
      <toplevelArtifactId>myproject.parent</toplevelArtifactId> 
      <failOnSCAError>true</failOnSCAError> 
      <upload>false</upload> 
      <projectName>My Project Main Development</projectName> 
      <projectVersion>${project.version}</projectVersion> 
     </configuration> 
     </plugin> 
    </plugins> 
    </build> 
</profile> 

запустить сканирование из командной строки:

mvn -Dmaven.test.skip=true -Dfortify.sca.buildId=myproject -Dfortify.sca.toplevel.artifactId=myproject.parent com.fortify.ps.maven.plugin:sca-maven-plugin:clean 

Очевидно, что вы будете иметь для определения именования buildId и artifactId, и это немного меняется в зависимости от того, используете ли вы родитель, агрегатор или ничего.

Answer 2

На самом деле профили не нужны, только конфигурация плагина.

<build> 
    <plugins> 
     <plugin> 
      <groupId>com.fortify.ps.maven.plugin</groupId> 
      <artifactId>sca-maven-plugin</artifactId> 
      <version>4.30</version> 
      <configuration> 
       <findbugs>true</findbugs> 
       <htmlReport>true</htmlReport> 
       <maxHeap>800M</maxHeap> 
       <source>myJavaVersion</source> 
       <buildId>myBuildId</buildId> 
       <verbose>true</verbose> 
       <skipTests>true</skipTests> 
       <toplevelArtifactId>myTopLevelId</toplevelArtifactId> 
      </configuration> 
     </plugin> 
    </plugins> 
</build> 

Используя один Jenkins работу вы можете писать, в качестве предварительного шага, сценарий оболочки:

mvn clean sca:clean -DskipTests 
mvn sca:translate -DskipTests 

А затем определить фактическую «Цель и варианты», как:

install sca:scan -DskipTests 

Наличие их в виде отдельных командных строк - единственный способ получить sca-clean, перевести и отсканировать (и отправить файл отчета Fortify), выполненный в одном задании Jenkins.

Надеюсь, это сработает и для вас!