主页
开发
了解如何使用该产品进行开发。
扫描源代码和管理评估
本部分说明如何扫描源代码和管理评估。
扫描
您可以扫描 Eclipse 或者 Rational® Application Developer for WebSphere® Software (RAD) 工作空间、项目或文件。这包括扫描 Java™（包括 Android）、JavaServer Pages (JSP) 和 IBM®MobileFirst Platform 项目。
Linux™ 上的 AppScan® Source for Analysis 和 AppScan® Source for Development（Eclipse 插件）必备组件
在 Linux™ 上，Eclipse 需要安装第三方组件才能呈现基于浏览器的内容。如果没有此组件，那么 AppScan® Source for Analysis 和 AppScan Source for Development Eclipse 插件可能会显现诸如登录后挂起或在产品使用期间发生故障之类的症状。

开发
了解如何使用该产品进行开发。
- 扫描源代码和管理评估
  本部分说明如何扫描源代码和管理评估。
  - 扫描
    您可以扫描 Eclipse 或者 Rational® Application Developer for WebSphere® Software (RAD) 工作空间、项目或文件。这包括扫描 Java™（包括 Android）、JavaServer Pages (JSP) 和 IBM®MobileFirst Platform 项目。
    - 扫描注意事项
      该主题描述了可能影响您的扫描的限制和注意事项。
    - 扫描配置
      扫描配置将在启动扫描时予以使用，并且通常能产生更好的扫描结果。AppScan® 源包括built-in scan configurations, which can be accessed in 服务器方式 or 本地方式. 此外，还可以在 AppScan Source for Analysis 中创建定制的扫描配置，并将其共享到 AppScanEnterprise Server - 可以在服务器方式下从 AppScan Source for Development 访问这些配置。
    - 从扫描中排除文件
    - 取消或停止扫描
      虽然您可以取消进行中的扫描，但是取消扫描会导致丢失该扫描的所有数据。另外，可以停止扫描，并生成一个评估（其中包含到目前为止发现的结果）。
    - Linux™ 上的 AppScan® Source for Analysis 和 AppScan® Source for Development（Eclipse 插件）必备组件
      在 Linux™ 上，Eclipse 需要安装第三方组件才能呈现基于浏览器的内容。如果没有此组件，那么 AppScan® Source for Analysis 和 AppScan Source for Development Eclipse 插件可能会显现诸如登录后挂起或在产品使用期间发生故障之类的症状。
  - 管理“我的评估”
    “我的评估”视图包含评估（当前打开的评估以及您已保存的任何评估）的列表。在此视图中，您可以打开、删除、保存、重命名或比较评估。扫描完整或您打开已保存的评估时，评估显示在“我的评估”视图中。“我的评估”显示打开或保存的评估的表，并标识已发布或修改的评估。从此视图除去评估（不进行保存或发布）将永久删除该评估。
  - 将 AppScan® 源评估提交到云以进行分析
    如果在 HCL Cloud Marketplace 订阅了 HCL AppScan on Cloud，可在此处提交 AppScan® 源评估以进行分析。支持 AppScan 源 V9.0 或更高版本的评估，可提交的扫描数取决于 AppScan on Cloud 订阅。
  - 发布评估
    AppScan® 源提供两种可选发布方式。您可以将评估发布到 AppScan 源数据库以存储和共享评估。或者，如果您的 AppScanEnterprise Server 已与企业控制台选件一起安装，那么可以向该选件发布评估。AppScan 企业控制台提供各种用于处理评估的工具，例如报告功能、问题管理、趋势分析和仪表板。
  - 打开和保存评估
    AppScan® 源扫描源代码以查找漏洞并生成结果。结果是在扫描期间确认的漏洞，而扫描的结果是评估。您可以从 AppScan Source for Development 或 AppScan Source for Analysis 打开已保存的评估。扫描之后，您可以将评估保存到文件。然后，您可以随时再次打开此评估。将评估另存为 filename.ozasmt。
  - 从“我的评估”中移除评估
    从“我的评估”视图中移除评估时，不会从本地文件系统中移除这些评估。如果从该视图中移除了某个评估，还可以通过打开评估操作来重新添加此评估。
  - 定义变量
    保存评估或束，或者发布评估时，AppScan® Source for Analysis 可能建议您创建变量来替换绝对路径（如果没有变量，AppScan Source for Analysis 会将绝对路径写入评估文件以引用诸如源文件之类的项）。为绝对路径配置变量时，可便于在多台计算机上共享评估。建议在共享评估时使用变量。
- 筛选和分析
  通过对相似发现结果进行分组，安全分析人员或 IT 审计员可以对源代码问题进行分段和分类。此部分说明如何将 AppScan® 源评估分类和对结果进行分析。
- AppScan® 源跟踪
  利用 AppScan® 源跟踪，您可以确认符合您的软件安全性策略的输入验证和编码。可查看将产生输入/输出跟踪的结果，并可将方法标记为验证和编码例程、源/接收器、回调或感染传播器。
- AppScan® Source for Analysis 和缺陷跟踪
  AppScan® Source for Analysis 与缺陷跟踪系统IBM® Rational Team Concert™集成以直接向开发者桌面传递已确认的软件漏洞。提交到缺陷跟踪系统的缺陷包含对错误的文本描述和一个仅包含与缺陷一起提交的发现的文件。
- 发现结果报告和审计报告
  安全分析人员和风险管理员可以访问对选定结果的报告，或一系列用于度量与软件安全最佳做法和法规要求是否一致的审计报告。本部分说明如何创建对聚集结果数据的报告。
- 创建定制报告
  在报告编辑器中，可创建用于生成定制报告的报告模板。

Linux™ 上的 AppScan® Source for Analysis 和 AppScan® Source for Development（Eclipse 插件）必备组件

在 Linux™ 上，Eclipse 需要安装第三方组件才能呈现基于浏览器的内容。如果没有此组件，那么 AppScan® Source for Analysis 和 AppScan® Source for Development Eclipse 插件可能会显现诸如登录后挂起或在产品使用期间发生故障之类的症状。

关于此必备组件的信息可在 http://www.eclipse.org/swt/faq.php#browserwebkitgtk 获取。

在 Linux™ 上使 AppScan® Source for Analysis 支持基于浏览器的内容

AppScan® Source for Analysis 在 Eclipse 的基础上构建，因此受此问题的影响。

对此问题进行纠正的建议方法是确保安装 32 位或 i686 版本的 WebKitGTK 1.2.0 或更高。您应咨询系统管理员以了解安装软件包的正确方法，但在某些系统上，这可能只需简单地发出 yum install webkitgtk.i686 命令。

如果您无法安装 WebKitGTK，那么可以选择安装 32 位版本的 Mozilla XULRunner 1.8。对于此选项，您可能还需要对环境变量进行以下更新：

将 MOZILLA_FIVE_HOME 设置为 XULRunner 安装位置。
更新 LD_LIBRARY_PATH 以追加（或前置） $MOZILLA_FIVE_HOME

在 Linux™ 上使安装到 Eclipse V3.7 或更高版本的 AppScan® Source for Development 支持基于浏览器的内容

对此问题进行纠正的建议方法是确保安装 32 位或 i686 版本的 WebKitGTK 1.2.0 或更高。您应咨询系统管理员以了解安装软件包的正确方法，但在某些系统上，这可能只需简单地发出 yum install webkitgtk.i686 命令。

如果您无法安装 WebKitGTK，那么可以选择安装 32 位版本的 Mozilla XULRunner 1.8。对于此选项，您可能还需要对环境变量进行以下更新：

将 MOZILLA_FIVE_HOME 设置为 XULRunner 安装位置。
更新 LD_LIBRARY_PATH 以追加（或前置） $MOZILLA_FIVE_HOME