当只有空格发生变化时，Checkmarx 分析会发生变化

Question

你好！我担心 checkmarx 扫描的可靠性。

我创建了一个只有两个文件的 checkmarx 项目：

• library.minified.js
• library.formatted.js

我使用beautifier.io 从library.minified.js 生成library.formatted.js。没有其他变化；这两个文件除了空白格式更改外完全相同。

令人担忧的是，checkmarx 对两个相似文件的安全威胁不同。特别是在缩小版中，它感知到了几个高风险项目，而在格式化版本中，它没有感知到高风险项目。

如果两个 javascript 文件的格式相同，为什么 checkmarx 会在每个文件中感知不同的安全威胁？

如果空白（JS 解释器会忽略的一个因素）影响评估，我如何相信 checkmarx 的判断？

Answer 1

我们知道，在某些情况下，空格更改确实会影响结果，因此我们会不断审查改进分析的方法。

获取您的意见对于解决这些问题将非常有帮助，因此，如果您可以的话，请通过这些示例向 Checkmarx 支持开一张票，我们将尽最大努力提供帮助。