代码测试工具Fortify介绍及实操演示（下）

       Fortify是一款在代码审计中广泛应用的静态代码分析工具，尤其在金融等行业中受到青睐。测试它是源码软件开发组织及专业评测机构构建软件测试体系时的常用安全测试工具。在前面的测试文章中，我们已经介绍了Fortify的源码最新功能和通过“Audit Workbench”模式测试Java语言源代码的方法。接下来，测试macd长短周期公式源码本文将继续介绍通过“Scan Wizard”模式和命令行进行测试的源码操作流程。

       通过“Scan Wizard”进行测试

       “Scan Wizard”支持多种语言或框架的测试源代码测试，包括Java、源码Python、测试C/C++、源码.Net、测试Go、源码PHP、测试Flex、源码Action Script、HTML、XML、JavaScript、TypeScript、Kotlin、SQL、ABAP、ColdFusion。

       （1）打开Scan Wizard

       （2）选择Python文件所在目录

       （3）确认测试工具自动识别内容

       （4）选择库文件

       （5）生成脚本文件

       （6）完成脚本文件生成

       （7）执行生成的脚本文件

       通过命令行进行测试

       命令行方式支持各语言源代码的测试。

       一、Linux项目测试

       以Linux下C/C++程序代码测试为例：

       1. 代码编译

       在代码测试执行前，首先需要进行C/C++程序代码的编译，如下面的示例：

       gcc -I. -o hello.o -c helloworld.c

       通过gcc编译器将代码进行编译。

       2. 代码测试

       在代码编译后，使用sourceanalyzer命令进行代码文件测试。

       sourceanalyzer -b gcc -I. -o hello.o -c helloworld.c

       3. 代码扫描结果文件生成

       在代码测试后，使用sourceanalyzer命令进行代码文件扫描及结果文件生成。symfony开发的网站源码

       sourceanalyzer -b -scan -f hello.fpr

       其中，本命令中的与第2步命令中的相同。成功生成结果文件后，可以基于该结果文件生成测试报告。

       4. 代码扫描结果文件生成

       二、iOS项目测试

        1. iOS项目测试条件

       （1） iOS项目需要使用non-fragile Objective-C runtime模式（ABI version 2或3）

       （2） 使用Apple “xcode-select command-line tool”设置Xcode path，同时供Fortify使用。

       （3） 确保项目相关依赖库文件已经包含在项目中。

       （4） 针对Swift代码，确保所有第三方模块都已经被包含，包括Cocoapods。

       （5） 如果项目中包含二进制的属性列表文件，需要将它们转化为XML格式，通过Xcode的putil命令进行转换。

       （6） 针对Objective-C项目，需要保证头文件能够被获取。

       （7） 针对WatchKit应用，需要同时转化iPhone应用和WatchKit扩展目标。

       2. iOS代码测试执行

       sourceanalyzer -b xcodebuild []

       测试报告生成

       通过“Scan Wizard”生成测试报告

       通过“Scan Wizard”方式进行测试执行，会生成.fpr测试结果文件，然后通过命令行方式基于测试结果文件生成测试报告文件。

       通过命令行生成测试报告

       通过“Scan Wizard”方式或命令行方式生成测试结果文件后，可以基于“ReportGenerator”命令生成测试报告。

       下面示例中，基于.fpr结果文件生成PDF格式的测试报告。

       ReportGenerator -format pdf -f.pdf -source .fpr

       .pdf为命名的PDF格式测试报告名称，.fpr为测试结果文件名称。

       以上就是我们为大家介绍的Fortify不同模式下的使用操作流程，欢迎大家交流讨论。如需其他软件测试体系建设相关的内容可私信我交流。

       （谢绝转载，更多内容可查看我的ota的apk下载源码专栏）

       相关链接：

       @道普云 持续输出软件测试技术、软件测试团队建设、软件测评实验室认可等内容。不断更新中，欢迎交流探讨。

       我的专栏：

       性能测试 工具、方法、流程、诊断、调优......

       安全测试 app安全测试、web安全测试、渗透测试、代码测试

       软件测试CNAS认证 标准解读、政策分析、体系建设、测试方法、测试工具

       功能测试 功能自动化测试、自动化测试工具、测试用例、缺陷管理

       新兴技术测试 人工智能系统测试、大数据系统测试、自动化测试...

代码测试工具Fortify最新版本介绍及实操

       Fortify代码测试工具是安全测试、代码审计中的重要软件测试工具，支持多种语言和组件级API，覆盖多种SAST漏洞分类。最新发布的Fortify .1.0版本相较于之前版本，对操作系统、编译器、构建工具、语言和框架进行了更新，并新增了对macOS 、Windows 、Clang .1.6、网站源码 服务器OpenJDK javac 、Swiftc 5.6、cl (MSVC) 和、Gradle 7.4.x、MSBuild .0、.0、.1和.2、Xcodebuild .3和.3.1的支持。此版本还对C# 、.NET 6.0、C/C++ 、HCL 2.0、Java 、TypeScript 4.4和4.5提供了支持，并改进了Visual Studio 、IntelliJ .x的兼容性。

       Fortify .1.0版本新增功能包括操作系统、编译器、构建工具、语言和框架的更新，以及改进的兼容性。在最新版本中，你可以发现新增了对macOS 、Windows 、Clang .1.6、OpenJDK javac 、Swiftc 5.6、cl (MSVC) 和、Gradle 7.4.x、MSBuild .0、.0、.1和.2、大商创源码开源Xcodebuild .3和.3.1的支持。此外，此版本还支持C# 、.NET 6.0、C/C++ 、HCL 2.0、Java 、TypeScript 4.4和4.5。

       在实操方面，Fortify提供了多种方式供用户进行代码测试。例如，通过“Audit Workbench”进行测试，此工具支持Java语言源代码的测试。用户可以在主页面选择代码测试语言类型，选择被测试代码所在目录，选择Java版本，进行代码测试配置，运行代码测试，查看代码测试结果。同时，用户还可以通过“Tools-Reports”生成测试报告，选择报告模板，生成BIRT报告或Legacy报告。

       除了通过“Audit Workbench”进行测试，Fortify还支持通过“Scan Wizard”和命令行进行测试。通过命令行方式，用户可以对各语言源代码进行测试。在后续的文章中，将详细介绍这两种测试方式的详细操作步骤。

       在Fortify .1.0版本中，新增了多项功能和改进，使得用户可以更方便地进行代码测试和安全测试。同时，Fortify还提供了多种方式供用户进行测试，包括“Audit Workbench”、“Scan Wizard”和命令行方式，为用户提供更灵活的选择。

       以上内容介绍了Fortify代码测试工具最新版本的一些新功能和实操方式。了解更多内容，请查看相关链接。同时，@道普云将持续输出软件测试技术、软件测试团队建设、软件测评实验室认可等内容，欢迎交流探讨。

Metersphere 源码启动并做性能测试（一）

       最近发现了一个开源测试平台——Metersphere，其在GitHub上广受好评。平台以Java语言编写，功能丰富，包括测试管理、接口测试、UI测试和性能测试。因此，我决定在本地尝试启动并进行性能测试。

       Metersphere的架构主要包括前端Vue和后端SpringBoot，数据库使用MySQL，缓存则依赖Redis。为了本地启动MS项目，首先需准备环境，参考其官方文档进行操作。在启动项目时，可能会遇到找不到特定类的错误，通常这是由于依赖问题导致的。解决这类问题，最常见的方式是注释掉相关的依赖和引用。如果遇到启动时出现依赖bean的问题，这可能是因为找不到对应的bean注入或调用方法时找不到对应的类。这种问题通常需要开发人员通过排查找到问题根源并解决，百度等资源是查找解决方案的有效途径。

       启动项目后，会观察到后台服务运行正常，接下来启动前端服务。执行`npm run serve`命令，如果项目已打包，这一步骤通常能成功启动前端。遇到前端加载失败的问题，可能需要重新打包项目，确保所有资源文件都能正常加载。

       接下来，进行性能测试的准备。Metersphere的性能测试流程包括发起压力测试、Node-controller拉起Jmeter执行测试、数据从Kafka流中获取并计算后存入MySQL数据库。在启动性能测试过程中，首先拉取Node-controller项目，需修改Jmeter路径，并确保本地环境支持Docker，因为Node-controller依赖Docker容器进行性能测试。Data-Streaming服务则负责解析Kafka数据并进行计算，需要确保Kafka服务已启动。

       启动Metersphere的backend和frontend后，配置压测资源池，添加本地Node-controller服务的地址和端口。性能测试分为通过JMX和引用接口自动化场景两种方式，可以模拟真实的网络请求。配置压力参数后，保存并执行性能测试，查看报告以了解测试结果。Metersphere的报告功能较为全面，值得深入研究。

       本地启动并执行性能测试的流程大致如上所述。在遇到问题时，查阅官方文档和利用百度等资源是解决问题的关键。Metersphere的官方文档提供了详尽的信息，对新用户来说是宝贵的学习资源。若仍有问题，可以考虑加入社区群寻求帮助。

如何进行网站的本地测试

       买好空间域名，做好关键词分析和选择，然后你就要选择合适的网站程序了。 选好网站程序，你还要测试一下，千万不要轻易上传到空间进行测试，因为如果这样的话，一旦搜索引擎收录了你的网站，你又在不断地改动的话，那样会让搜索引 擎觉得你的网站很不稳定，不值得信任，那就麻烦了。所以，你要测试网站程序，你就要在本地测试了。什么是本地测试，也就是在你自己的电脑上运行网站程序， 并进行细节上的修改，设置好你的网站。　　一、asp源码的本地测试　　这种情况也有两种方法的。第一种，如果你的网站没有安装IIS的话，可以下载一个叫Aws.exe的绿色小软件，这个小软件体积很小，只有多K，不用 安装就可以使用。下载后把这个小软件直接放在你那个网站程序的文件夹下，然后双击这个小软件，接着打开浏览器，输入.0.0.1，回车，你就可 以看到你的网站了。要修改你的网站，你可以根据网站程序的说明到网站后台去修改。　　第二种，其实和第一种差不多，就是安装IIS，IIS是windows系统自带的一个组件，不过现在很多用户可能都是用Ghost安装系统的，安装后的系统 一般都不带IIS的。这个时候你要进行网站的本地测试，你不按第一种方法做的话，你可以拿出一个windows的完整安装版本放到光盘里，然后进入控制面 板，双击添加或删除程序，点添加/删除Windows组件，在Internet 信息服务(IIS)前面打勾。然后点下一步，就可以进行IIS的安装。安装成功后，回到控制面板，进入管理工具，你会看到一个叫Internet 信息服务的组件。打开它，点左边的+号，一直点到默认网站，然后右击属性，选择主目录，在本地路径那里的浏览，找到你本地的那 个网站程序的文件，点确定。然后打开你的浏览器，输入.0.0.1，回车，你就可以看到你的网站了。如果不行的话，你要看看IIS的默认网站 后面是不是停止了，如果停止了，你就启动它就行了。　　二、php源码的本地测试　　php源码的本地测试是不能用上面的方法了，我是下载一个叫xampplite的软件进行本地测试的，下载这个软件，安装好。然后把网站程序文件夹 里的全部内容放进xampplite里一个叫htdocs的文件夹里，接着双击xampp-control.exe，在Apache和 FileZilla后面的Start上分别点一下。