Fortify是一款能扫描分析代码漏洞的强大工具，这里就不详细介绍，有兴趣了解的同学可以自己找些相关资料来看看。本人在实际工作中遇到以下漏洞，结合他人经验及自己的理解总结出一些相关解决方式，如有不足之处还望批评指正。1.System Information Leak系统信息泄露：当系统数据或调试信息通过输出流或者日志功能流出程序时
上级单位规定系统上线部署前必须通过Fortify SCA代码扫描，初步试用了下，感觉是比较强大，但没多大必要，与这个软件的价格相比 :)。 上Google一搜，网上中文的Fortify使用文档不多，找到了园子里的一篇：里面介绍的软件版本比较旧了。而且介绍也不是很全面。不过基本上也差不多主要的了。同个博客还有出现漏洞的解决方法，其实Fortify也会给每个漏洞进行解析，以及提供解决方案。
什么是spring：spring就是以IOC反转控制和AOP面向切面编程为内核，使用基本的JavaBean来完成以前由EJB完成的工作。spring框架的优点：（1）方便耦合，简化开发：spring就是一个大工厂，可以将所有创建的对象和依赖关系交给spring管理。（2）AOP编程支持：spring提供面向切面的编程，可以方便的实现对程序进行权限拦截和运行监控等功能。（3）声明式事务的支持：只需要
转载
2024-01-26 07:31:53
82阅读
# Java代码如何定时扫描
在Java开发中，我们经常需要定时扫描某些任务或者执行某些操作。定时扫描可以用于定时检查数据库中数据的更新情况、定时发送邮件或者短信、定时清理临时文件等等。本文将介绍如何使用Java代码实现定时扫描的功能。
## 一、使用Timer和TimerTask类
Java提供了两个类`Timer`和`TimerTask`来实现定时任务的功能。`Timer`类用于安排指定
原创
2024-01-28 08:46:15
120阅读
# 如何使用SonarQube扫描Java代码
在软件开发过程中，代码质量是非常重要的一个方面。SonarQube是一个用于静态代码分析的开源平台，可以帮助开发人员检测代码中的潜在问题，并提供改善建议。在本文中，我们将介绍如何使用SonarQube扫描Java代码，并解决一个实际的问题。
## 安装SonarQube
首先，需要安装SonarQube服务器。可以在SonarQube官网下载最
原创
2024-03-24 05:17:00
610阅读
Sonar是一个用于代码质量管理的开源平台，用于管理源代码的质量，可以从七个维度检测代码质量，可以通过使用插件机制与 eclipse 和 JIRA 等其他外部工具集成，从而实现了对代码的质量的全面自动化分析和管理。支持包括java,C#,C/C++,PL/SQL,Cobol,JavaScrip,Groovy等二十几种编程语言的代码质量管理与检测。 官网：https://www.sonarqube
转载
2024-02-22 20:21:54
642阅读
一、代码质量测试1. 代码测试工具 SonarQube：官方网站：https://www.sonarqube.org/SonarQube 是一个用于代码质量管理的开放平台，通过插件机制,SonarQube 可以集成不同的测试工具，代码分析工具，以及持续集成工具。与持续集成工具（例如 Hudson/Jenkins等）不同，SonarQube并不是简单的把不同的代码检查工具结果（例如FindBugs，
转载
2024-01-06 23:46:37
139阅读
sonar集成golang的检测工具sonar中的插件SonarGo自带一些检测规则，但sonar想要集成golang的覆盖率、单元测试报告、和更多的代码规则，需要集成其他golang的检测工具单元测试通过golang的单元测试工具go test生成单元测试报告（见）报告使用终端转化的json文件，不可以使用转化的xml报告、不转化终端报告（亲测可以读取报告但是sonar项目中并无展示任何相关数据
转载
2023-12-11 12:51:00
181阅读
# 如何使用Java代码扫描逻辑bug
在软件开发过程中，逻辑bug是最常见的问题之一。在Java代码中，逻辑bug可能导致程序运行不符合预期，甚至造成严重的后果。因此，及早发现和修复逻辑bug是非常重要的。本文将介绍如何使用Java代码扫描工具来检测逻辑bug，并提供一个具体问题的解决方案。
## 1. 使用Java代码扫描工具
Java代码扫描工具是一种静态代码分析工具，可以帮助开发人员
原创
2024-06-29 03:50:41
54阅读
# 使用 SonarQube 扫描本地 Java 代码的详细指南
## 引言
在软件开发中，代码质量是一个不可忽视的问题。良好的代码质量能够提高项目的可维护性、可扩展性与安全性。SonarQube 是一个非常流行的工具，能够帮助开发者检测代码中的问题、漏洞和代码气味（Code Smells）。本文将介绍如何使用 SonarQube 扫描本地 Java 代码，包括安装、配置及实际操作示例。
#
经历了一段时间的加班赶项目进度之后，今天终于闲下来了。忽然不知道干啥。于是，想着做点什么吧。突然想起了码云上面有个代码分析的功能，用的是 Sonar于是想来玩玩这个。 一、下载Sonar，和初始化，启动打开浏览器，搜索sonarqube，进入官网，找到download按钮，下载安装包。浏览器下载慢的话， 可以复制下载链接 到迅雷里边下载。下载之后，解压到任意目录。解
1.介绍本文将介绍如何安装sonarQube7.8环境以及sonar-scanner，扫描本地Vue代码。2.为什么要使用sonarQube？SonarQube ® 是一种自动代码审查工具，用于检测代码中的错误、漏洞和代码异味。它可以与您现有的工作流程集成，以实现跨项目分支和拉取请求的持续代码检查。（本文没有介绍红色字体这部分功能）说一下个人理解：sonarQube对于两部分人非常受用：
Java源码安全审查最近业务需要出一份Java Web应用源码安全审查报告, 对比了市面上数种工具及其分析结果, 基于结果总结了一份规则库. 本文目录结构如下:检测工具 FindSecurityBugs基于class文件分析, 他是大名鼎鼎的findbugs的插件, 安装比较简单. 在findbugs官网下载安装包, 插件jar, 把jar放到findbugs-3.0.1\plugin目录.打开b
java的设计者已经编写了颇有影响力的白皮书，内容摘要可以用11个关键术语进行组织： 简单性、可移植性、面向对象、解释型、网络技能、高性能、健壮性、多线程、安全性、动态性、体系结构中立，这11个术语，也可以说是官网给出的java语言带有的特性。 下面详细解释一下面试中常问的有关安全性的问题。 通常安全性问题，很广很大，不能深入研究，所以大多数安全性的发问点都是和代码安全性有关系，相关的术语有编译器
转载
2023-09-24 18:31:19
124阅读
虽然客户仍然很关心您为他们构建的应用程序的可伸缩性和可用性，但他们可能变得也很关心安全性，而且要求特别严格。应用程序可能容易受到两类安全性威胁的：静态和动态。虽然开发人员不能完全控制动态威胁，但在开发应用程序时，您可以采取一些预防措施来消除静态威胁。本文概括并解释了 13 种类型的静态暴露 ― 它们是系统中的缺陷，它使系统暴露在想要篡夺该系统的特权的者面前。您将学会如何处理这些暴露，以及如何发现（
转载
2023-07-11 18:50:26
234阅读
赛门铁克2017年互联网安全威胁报告中提出在他们今年扫描的网站中，有76%都含有恶意软件。如果你在用WordPress，SUCURI的另一份报告也显示，超过70％的被扫描网站也都存在一个或多个漏洞。 如果你刚好是某个网络应用程序的所有者，怎样才能保证你的网站是安全的、不会泄露敏感信息？ 如果是基于云的安全解决方案，那么可能只需要进行常规漏扫。但如果不是，我们就必须执行例行扫描，采取必要的行动降低
转载
2023-12-21 16:03:13
198阅读
怎样分析 Java 代码以进行修改？
JDT 提供了几个工具来帮助您分析代码。本文有意选择了最简单的 IScanner 接口进行演示，它的作用域也最有限。这个接口属于 JDT 工具箱，可以通过 JDT 的 ToolFactory 类访问它。其 createScanner 方法返回一个扫描程序，该扫描程序会简化对一串
Java 代码作标记的
转载
2024-01-15 20:58:24
66阅读
//BufferedReader类有两个问题：
它读取数据的时候只能够按照字符串返回
所有的分隔符都是固定的
在jdk1.5后提供有一个java.util.Scanner的类，这个类专门负责所有输入流的操作问题。
构造方法：public Scanner(InputStream source),接收有一个InputStream类对象，表示的是由外部设置输入的位置
在Scanner类里面定义了以下的两
转载
2023-08-05 23:41:46
64阅读
参考官方地址：https://docs.sonarqube.org/display/PLUG/GitHub+Plugin运行环境：sonarQube6.2 + sonarScanner2.8近来，使用sonarQube的次数比较少，项目中主要是使用Visual Studio Team Service + sonarQube的方式对代码进行扫描（每一次Pull Request经过Merge之后会自动
转载
2024-04-25 11:43:27
171阅读
1.SQL注入在输入的字符串之中注入恶意的SQL指令，这些注入的指令会被数据库误认为是正常的SQL指令进行执行，是系统遭到破坏。例：String selectid="select"+id+" from StuInfo ";或：String selectid="select id from StuInfo where id="+id;上述两句SQL查询语句没有对输入进行限制，用户可以随意输入任意字符
转载
2024-08-31 21:53:33
5阅读
