Fortify 和第三方库

Question

我想了解在新版 Fortify SCA 17.10 中，为什么扫描默认排除第三方库？我找到了这个article 并且似乎您使用的任何开源库，通过投票请求解决这些问题符合您的最大利益。我注意到我从 Fortify 扫描中获得的一些发现通常是误报，这就是为什么现在 Fortify 排除了第三方库吗？这样做有正当理由吗？

Answer 1

我想这是因为您作为代码的所有者无法真正解决第三方库中的问题。你唯一能做的就是压制这个问题。在同一公司的另一个团队维护依赖关系的情况下，这甚至可能是正确的。 因此，我尝试将此作为一个机会，通过使用这些设置来简化审核过程。