在代码安全扫描过程中，扫描规则决定了Fortify对代码风险的识别范围。不同项目的开发语言、业务场景以及安全要求存在差异，因此实际使用时通常需要对规则进行调整。使用Fortify时，有些用户会遇到修改规则后结果没有变化的情况，例如关闭某类规则后报告中仍然存在对应问题，新增规则后没有出现新的检测结果等。出现这类情况时，需要确认规则是否已经应用到扫描任务，而不是只查看规则配置页面。

Fortify进行静态代码安全分析时，并不是简单搜索危险函数，而是结合规则、控制流和数据流判断外部输入能否沿代码路径到达敏感操作。因此，同一条安全问题是否成立，往往还要结合项目框架、输入约束和实际调用关系确认。处理“Fortify怎么进行代码安全扫描，Fortify扫描结果误报过多如何优化”时，一方面要保证扫描范围和规则版本正确，另一方面也要把真正的误报与低价值告警区分开，否则很容易通过大量过滤把实际风险一并隐藏。

Fortify本地扫描完成后，通常会生成FPR文件，再上传到SSC集中审计。上传成功只说明文件已经送到服务器，结果是否进入正确版本，还要看目标版本、处理状态和审批规则。弄清Fortify结果怎么上传SSC Fortify上传SSC后项目版本没有更新怎么办，先要分清“更新扫描结果”和“新建项目版本”是两件事。

Fortify扫描时内存不足应当怎样处理，以及大型项目的扫描参数又该怎样调整，这是大型项目在接入SAST时很容易碰到的问题。Fortify SCA在扫描的时候，需要经过代码转换和安全分析这两个阶段，项目的代码量越大、依赖越多、语言越复杂，内存方面的压力就会越明显。OpenText的文档也说明了，扫描所需要的物理内存，会受到代码复杂度的影响，在默认情况下，它会根据系统可用的物理内存自动去分配，但遇到OutOfMemory的时候，可以通过-Xmx去调整Java的堆内存，也可以使用SCA_VM_OPTS来统一设置内存的选项。

在Fortify SSC里面，扫描结果并不是直接放在单独的“应用名称”下的，它是需要放在具体的某个【应用版本】里面。大家在做SAST扫描结果上传的时候，不能光看FPR文件是不是生成成功了，还要看SSC里面的应用版本是不是建对了，属性是不是都填完了，上传的目标有没有选错。至于Fortify SSC应用版本怎么创建，还有Fortify SSC版本上传后为什么看不到结果，一般能顺着“建版本、传文件、看Artifacts、查Audit页面”这条线去排查。

Fortify SSC的权限怎么分才合适，角色改完了怎么还是看不到应用，在安全平台多人一起用的时候，这两个问题是挺常碰到的，SSC不是光靠一个“管理员”或者“普通用户”的名头就能把访问权限管住的，它还得把角色的权限、应用版本的授权、项目团队的范围，还有认证的来源，这好几样东西揉到一块儿，才能去判断一个用户到底能干什么，按照官方文档讲的，角色的权限是能在用户管理的角色页面里查到的，一个角色到底能执行哪些操作，得一项一项去把它确认清楚。

在Fortify SSC这类安全平台上面，多人一起协作的时候，经常会碰到两个比较头疼的问题，一个是权限到底该怎么分配才算合理，另一个就是明明已经改完了角色，可用户登录之后还是说看不到应用。SSC控制访问权限并不是简单地给用户贴上一个“管理员”或者“普通用户”的标签就完事了，它会把角色本身所带的权限、应用版本这一级的授权、项目团队的划分范围，还有用户是从哪里做的身份认证，这好几样东西综合到一起来决定某个人到底能干什么。按照官方的说明文档，角色所对应的权限可以去【Administration】→【Users】→【Roles】这个路径里面查看，而且每一个角色底下到底能够执行哪些具体的操作，都需要一条一条地去核对清楚。

在Fortify里做权限，最容易出问题的不是按钮不会点，而是一开始就把“系统角色”和“项目访问”混成了一层。Fortify Software Security Center的官方文档写得很清楚，角色负责定义一个用户能做哪些动作，应用版本访问则决定这个用户能看和能操作哪些项目；同时，系统还支持自定义角色、LDAP角色映射，以及把用户单独分配到具体应用版本。也就是说，权限设计不是只建几个角色就结束，而是要把“能做什么”和“能进哪几个项目”分开管。

很多团队说做Fortify基线，实际做出来的却只是一次首扫结果。真正能长期拿来比新增、比移除、比审计效率的基线，关键不在“先扫一次”，而在“先把应用版本、模板、过滤口径和后续上传方式固定住”。Fortify Application Security会把新上传结果并入同一个应用版本的既有结果里，并判断问题是不是上一次就存在，问题在最新扫描里消失后还会被标记为removed，所以基线本质上是同一应用版本上的第一份稳定全量结果，而不是单独一份文件。

在Fortify里做规则定制，真正要先分清的是你要改哪一层。第一层是规则内容本身，也就是用Fortify Custom Rules Editor去写或改自定义规则；第二层是规则装载方式，也就是让本地SAST扫描器、Audit Workbench或SSC真正吃到这份自定义Rulepack。官方文档明确说明，Fortify支持编写自定义规则来补充内置安全内容，适合落地企业自有安全规范、第三方库识别和预编译组件分析；同时，Custom Rules Editor就是官方提供的自定义规则编辑工具，而Custom Rules Guide随产品下载包提供。