产品线静态代码安全扫描

2019独角兽企业重金招聘Python工程师标准>>>

Findsecbugs是findbugs的一个扩展插件，专门发现代码中安全方面的漏洞；website：http://find-sec-bugs.github.io/

通过扫描源代码，findsecbugs能够发现121种不同的安全漏洞类型，关于漏洞类型，参考：http://find-sec-bugs.github.io/bugs.htm

Findsecbugs只能扫描java代码；支持主流的java开发框架，比如Spring-MVC, Struts等

Findsecbugs的使用方法：

1、 Findsecbugs可以安装在IDE比如Eclipse和IntelliJ中使用；如何在IDE中安装使用请参考：FindSecurityBugs简介.docx

2、 Findsecbugs除了可以在IDE中由开发人员自检之外，还可以作为jenkins插件成为CI中的一个环节；其支持Maven工程构建同时完成代码扫描。具体配置过程参见官网说明：https://github.com/find-sec-bugs/find-sec-bugs/wiki/Maven-configuration

3、 Findsecbugs还可以结合另外一款代码质量检测工具SonarQube做代码扫描，此方式待验证。

此工具适用范围：公司java研发人员、运维人员、安全测试人员

For java developer， 推荐每个开发同事在自己的IDE环境中把findbugs插件安装起来，并且配置findsecbugs这个选项，每次提交代码之前先自己扫描一遍；根据扫描结果和推荐修改方式纠正自己的代码；开发人员修复安全缺陷，请参考Java开发人员使用Findsecbugs事宜

For Ops developer， 请运维人员在jenkins里面安装findbugs插件，并配置jenkins代码主干或者分支的构建job，使其在maven编译成功以后就开始扫描安全缺陷；如果安全扫描结果发现非low之外的缺陷即发现了high/medium/normal的安全缺陷，则停止部署；安全缺陷修复以后再编译-->扫描pass-->部署;

For testing developer, 做安全测试之前可以先阅读一下findsecbugs的扫描结果，或者对findsecbugs的扫描结果做过滤。

 

转载于:https://my.oschina.net/tukwila/blog/1580590