Fortify扫描java怎么跑，Fortify扫描java扫描范围太大怎么办，关键是把一次扫描拆成两件事来管：先让翻译阶段吃到真实构建语义，再把范围收敛到可复核、可整改、可持续的边界里，这样扫描结果才稳定，耗时也能控住。

　　一、Fortify扫描java怎么跑

　　Fortify扫描java要跑得稳，先把构建方式、依赖解析、产物输入三件事固定下来。建议按清理构建ID、采集编译语义、执行扫描、输出结果四步走，避免只跑扫描不做翻译导致缺类缺依赖。

　　1、先把环境与Build ID口径配稳

　　（1）固定一次扫描使用的SCA版本、规则库版本、JDK版本，并把三项写进本次构建归档，后续结果突变先比版本再比代码；

　　（2）为每次扫描设定唯一Build ID，建议用项目名加分支名加构建号，保证翻译与扫描始终引用同一个Build ID；

　　（3）每次重新跑之前先清理旧Build ID产物，避免历史翻译残留混进新结果，出现命中点飘动时很难复核。

　　2、用构建集成方式采集Java编译语义

　　（1）Maven项目优先用同一Build ID包裹mvn命令，让构建过程被Fortify接管并记录classpath与编译单元，常见做法是先执行清理再执行编译；

　　（2）Gradle项目同样用Build ID包裹gradle的编译任务，重点保证依赖下载与编译任务在同一次采集链路里完成，避免只采到部分模块；

　　（3）多模块工程不要一次性把所有模块塞进一个超长classpath里，建议按模块或按服务拆分Build ID分别采集，后续汇总用报告与平台来做，而不是在一次翻译里硬扛。

　　3、把翻译阶段常见缺口一次补齐

　　（1）如果日志提示找不到类或依赖缺失，优先检查是否跳过了依赖解析步骤，例如离线构建未拉全依赖，或私服不可达导致依赖不完整；

　　（2）如果你们用的是多JDK或多编译目标，确保采集时使用的JDK与真实构建一致，JDK不一致会造成字节码版本不匹配，翻译阶段看起来成功但实际丢类；

　　（3）如果项目里有大量注解处理器或代码生成步骤，先把生成步骤纳入同一次构建链路再采集，否则Fortify扫描java会漏掉生成源码对应的调用链。

　　4、执行扫描并输出可复核产物

　　（1）翻译完成后再执行scan动作，避免边翻译边扫描造成定位困难，出现异常时也不好判断卡在哪个阶段；

　　（2）输出结果建议同时保留FPR与一份可读报告，前者用于平台审计与复核，后者用于开发定位与评审沟通；

　　（3）如果在Jenkins里跑，确保把日志、FPR、报告目录作为构建产物归档，后续排障不需要反复复跑才能还原现场。

　　二、Fortify扫描java扫描范围太大怎么办

　　Fortify扫描java范围太大通常有两种表现：一是翻译阶段把不该纳入的目录也采进来，二是扫描阶段把第三方与测试代码也当成整改目标，导致告警量和耗时同时失控。处理顺序建议先控纳入边界，再控治理节奏。

　　1、先把不该扫的内容明确排除

　　（1）第三方依赖与构建输出目录优先排除，例如依赖缓存目录、打包产物目录、重复拷贝的lib目录，避免把外部代码当成你们的整改范围；

　　（2）生成代码与临时目录优先排除，例如自动生成的客户端、接口桩代码、临时构建目录，首轮先把主干业务代码跑通再决定是否纳入；

　　（3）测试与示例代码分层处理，单元测试目录与示例工程可以先只做统计不做门禁，避免首轮落地直接卡死流水线。

　　2、用模块化拆分把范围变成可治理节奏

　　（1）按业务服务或子模块拆分Build ID分别扫描，每个模块出一份结果清单，开发侧更容易认领与整改，扫描耗时也更可预测；

　　（2）对超大仓库先选核心入口链路模块落地，例如网关、鉴权、支付、文件上传等高风险路径，先保证关键路径扫描稳定再逐步扩面；

　　（3）把范围扩面写成计划，不要靠临时手工改参数，建议每次扩面只新增一个模块或一类目录，并做一次前后对比复核。

　　3、用基线与增量把告警压力降下来

　　（1）首次全量结果建立基线，把存量问题当技术债分阶段处理，避免历史欠账一次性压垮当前迭代；

　　（2）门禁优先拦新增高严重度问题，新增从零控制住后再提高阈值与覆盖范围，团队更容易坚持；

　　（3）对高频误报先归因再收敛，优先修复构建语义缺失与识别缺口，不要一上来靠大面积抑制压下去，否则后续很难分辨真实风险。

　　4、范围太大导致耗时失控时的快速止血动作

　　（1）先把范围收缩到单模块或单服务，确认在可控范围内翻译与扫描能稳定完成，再逐步放开；

　　（2）降低同机并发，把扫描节点与编译、单测、打包任务错峰，避免磁盘IO与内存被抢导致扫描看起来卡住；

　　（3）把日志里耗时最长的目录或包名记下来，回到采集链路检查是否误把依赖或产物目录纳入，往往一处边界错误就能解释大部分耗时。

　　三、Fortify扫描java如何把范围收敛成长期门禁

　　把Fortify扫描java做成长期门禁，核心是三件事不漂移：构建语义不漂移、范围边界不漂移、规则口径不漂移。只要这三件事固定下来，范围再大也能分阶段治理，而不是每次都从头推倒重来。

　　1、把口径与范围固化成可复用资产

　　（1）把Build ID命名规则、扫描脚本、排除目录清单固化到流水线配置里，禁止临时改动导致趋势不可比；

　　（2）把规则库版本与项目版本绑定记录，每次扫描归档写清SCA版本与规则库版本，结果突变先对比版本差异。

　　2、把复核闭环做成固定动作

　　（1）每次扫描输出新增与关闭清单，新增高严重度必须给出结论，修复、延期或误报说明三选一，避免告警长期悬挂；

　　（2）每轮修复后用同一口径复扫对比，确认下降来自代码修复而不是范围缩小或配置变化。

　　总结

　　Fortify扫描java怎么跑，Fortify扫描java扫描范围太大怎么办，落到执行上可以按这条线推进：先用Build ID把翻译与扫描链路固定，再用构建集成采集真实编译语义，随后通过排除边界、模块拆分与基线增量把Fortify扫描java范围收敛到可治理节奏，最后把口径、范围、版本归档成资产，扫描才能稳定、结果才能长期可用。