主页
延伸產品功能
學習如何延伸產品。
HCL® AppScan® Source for Development（Eclipse 外掛程式）
利用 AppScan® Source for Development，您可以在現有的開發環境中作業，且可以對 Java 和 IBM®MobileFirst Platform 專案執行安全漏洞分析。安全分析可讓您精確找出原始碼的漏洞，然後利用 AppScan Source Security 知識庫的補救協助，將它們徹底消除。
掃描
您可以掃描 Eclipse 或是 Rational® Application Developer for WebSphere® Software (RAD) 工作區、專案或檔案。這包括掃描 Java™（包括 Android）、JavaServer Pages (JSP) 及 IBM®MobileFirst Platform 專案。
掃描 MobileFirst Platform 專案
MobileFirst Platform 專案的掃描方式，與其他類型相同，不過，仍然有一些事項需要考量。這個說明主題就在說明這些考量。

延伸產品功能
學習如何延伸產品。
- 自訂漏洞資料庫和型樣規則
  本節說明如何自訂資料庫，以及將自訂的漏洞及其他常式整合到掃描中。
- 延伸應用程式伺服器匯入架構
  AppScan® 來源可讓您從 Apache Tomcat 及 WebSphere® 應用程式伺服器 Liberty 設定檔匯入 Java™ 應用程式。您可以如本主題所述，延伸應用程式伺服器匯入架構，以便從其他應用程式伺服器匯入 Java 應用程式。
- HCL® AppScan® Source for Development（Eclipse 外掛程式）
  利用 AppScan® Source for Development，您可以在現有的開發環境中作業，且可以對 Java 和 IBM®MobileFirst Platform 專案執行安全漏洞分析。安全分析可讓您精確找出原始碼的漏洞，然後利用 AppScan Source Security 知識庫的補救協助，將它們徹底消除。
  - HCL® MobileFirst Platform Application Scanning
    AppScan® Source for Development 也作為 MobileFirst Platform Application Scanning 提供。利用 MobileFirst Platform Application Scanning，您可以在現有的開發環境中作業，且可以對 IBM®MobileFirst Platform 專案執行安全漏洞分析。安全分析可讓您精確找出原始碼的漏洞，然後利用 AppScan Source Security 知識庫的補救協助，將它們徹底消除。
  - 名詞解釋
  - AppScan® Source for Development 伺服器模式和本端模式
    在具有或沒有 AppScan®Enterprise Server 的情況下都可使用 AppScan Source for Development 外掛程式。在伺服器模式中，您連接至伺服器來執行掃描和存取共用的資料，就像在舊版產品中一樣。在新的本端模式中，AppScan Source for Development 在完全不連接 AppScanEnterprise Server 的情況下執行 - 您將無法存取共用項目，例如過濾器、掃描配置及自訂規則。
  - 建立變數
    如果要開啟先前在 AppScan® Source for Analysis 中基於路徑變數所建立的評量或組合，您應該在開發環境中建立相符的變數。建立變數可確保資料可供多部電腦使用。如果要共用評量資料，您必須定義適當的變數。
  - 配置掃描
    視您要掃描的專案類型以及您要處理的掃描類型而定，您可能必須在執行掃描之前先配置它。例如，您可以將專案配置為使用依預設所設定的 JDK 或 JSP 編譯器以外的編譯器。
  - 一般喜好設定
    一般喜好設定可讓您調整某些 AppScan® Source for Development 預設值，以符合您的個人喜好設定。
  - 一般喜好設定
    一般喜好設定可讓您調整某些 AppScan® Source for Development 預設值，以符合您的個人喜好設定。
  - 掃描
    您可以掃描 Eclipse 或是 Rational® Application Developer for WebSphere® Software (RAD) 工作區、專案或檔案。這包括掃描 Java™（包括 Android）、JavaServer Pages (JSP) 及 IBM®MobileFirst Platform 專案。
    - 掃描考量
      本主題說明可能影響您掃描的限制和考量。
    - 掃描 MobileFirst Platform 專案
      MobileFirst Platform 專案的掃描方式，與其他類型相同，不過，仍然有一些事項需要考量。這個說明主題就在說明這些考量。
    - 掃描配置
      啟動掃描時會使用掃描配置，這通常可產生較佳的掃描結果。AppScan® 來源包含可在伺服器模式或本端模式中存取的內建掃描配置。此外，還可在 AppScan Source for Analysis 中建立自訂掃描配置並分享到 AppScanEnterprise Server - 在伺服器模式下，可從 AppScan Source for Development 存取。
    - 取消或停止掃描
      雖然您可以取消進行中的掃描，但取消掃描會使這項掃描的資料全部消失。或者，您也可以停止掃描來中止它，並以到目前為止所發現的結果來產生評量。
  - 開啟及儲存評量
    AppScan® 來源會掃描原始碼的漏洞，並列出發現項目。發現項目是掃描期間所識別的漏洞，掃描結果是評量。您可以從 AppScan Source for Development 或 AppScan Source for Analysis 開啟儲存的評量。掃描之後，您可以將評量儲存在檔案中。之後，您隨時可以重新開啟評量。評量儲存為 filename.ozasmt。
  - 自訂發現項目表格
    除了 AppScan® Source for Analysis 中的「評量差異」視圖之外，在所有含有發現項目的視圖中，您可以只將您想要看到的直欄及直欄次序識別出來，以自訂發現項目表格。每個視圖可以各有不同設定，您也可以將選項套用於所有視圖。如果要自訂直欄次序，請遵循這個作業主題中的步驟。
  - 將所選的發現項目儲存在評量中
  - 搜尋發現項目
    在包含發現項目的多重視圖中，您可以搜尋特定的發現項目。搜尋準則包含組合、程式碼、檔案、專案或漏洞類型。搜尋結果會出現在「搜尋結果」視圖中。
  - 修改發現項目
    已修改的發現項目是漏洞類型、分類、嚴重性有了改變，或擁有註釋的發現項目。「已修改的發現項目」視圖會顯示現行應用程式（因開啟其評量而在作用中的應用程式）的這些發現項目。在「我的評量」視圖（只限 AppScan® Source for Analysis）中，已修改直欄會指出發現項目是否在現行評量中有了改變。
  - 解決安全問題和檢視補救協助
    AppScan® 來源會發出安全錯誤或一般設計缺失的警示，且能夠在解決過程中提供協助。AppScan Source Security 知識庫（以及內部或外部的程式碼編輯器）可以在這個過程中提供協助。
  - 分類及排除項目
    掃描之後，您可能決定某些發現項目與目前的工作無關，在分類掃描結果時，不要它們出現在發現項目表格中。這些排除項目（或已排除的發現項目）不會再出現在「發現項目」視圖中，變更結果會立即更新評量的度量。新增到配置中的過濾器和組合排除項目，只會影響到後續的掃描。
  - 建立及管理過濾器
    AppScan® 來源提供多種建立及使用過濾器的方法。「過濾器編輯器」視圖是建立過濾器的主視圖，它提供一組很健全的規則，您可以手動設定它們，然後將它們儲存在過濾器中。另外，「過濾器編輯器」視圖也提供了已建立過濾器的管理機制，您很容易修改或移除這些過濾器。另外，您也可以利用提供發現項目之圖形表示法的視圖，來過濾發現項目表格，然後在「過濾器編輯器」視圖中儲存這些過濾器。當您建立過濾器時，會更新其他視圖來反映過濾器內容。
  - 支援的註釋和屬性
    掃描期間會處理一些用來裝飾程式碼的註釋或屬性。於掃描期間，當程式碼中發現支援的註釋或屬性時，會利用這項資訊，將裝飾的方法標示為污染的回呼。針對標示為污染回呼的方法，會將其所有引數都視為包含受污染的資料。這會產生更多含有追蹤資料的發現項目。這個說明主題中會列出所支援的註釋和屬性。
  - 使用組合
    組合（發現項目的分組機制）可讓您從 AppScan® Source for Analysis 中，將發現項目的 Snapshot 匯入 AppScan Source for Development 中。將發現項目放入組合之後，您可以利用 AppScan Source for Development 來開啟含有組合的專案、匯入組合，或開啟已儲存的組合檔 (file_name.ozbdl)。
  - AppScan® 來源追蹤
    當使用 AppScan® 來源追蹤時，您可以驗證輸入驗證和編碼是否符合您的軟體安全原則。您可以查看產生輸入/輸出追蹤資料的發現項目，將方法標示為驗證常式和編碼常式、來源或接收槽、回呼，或污染傳播者。
  - 視圖和視窗
    AppScan® Source for Development 的視圖和視窗提供發現項目的替代呈現方式，它們支援編輯程式碼，可讓您在工作台中導覽資訊。視圖可以單獨出現，也可以在標籤記事本中，與其他視圖堆疊起來。您可以開啟和關閉視圖，以及將它們定置在「工作台」視窗的不同位置，以變更視景或視窗的佈置。
  - 安裝和使用者資料檔位置
    當您安裝 AppScan® 來源時，使用者資料和配置檔會儲存在安裝目錄之外。
  - CWE 支援
    「一般弱點列舉 (Common Weakness Enumeration, CWE)」是一份業界標準清單，可提供常見的軟體弱點的一般名稱。本主題列出 AppScan® 來源的現行版本中支援的 CWE ID。
  - 智慧型發現項目分析 (IFA)
    瞭解從 AppScan® 來源自動分類和分析發現項目。

掃描 MobileFirst Platform 專案

MobileFirst Platform 專案的掃描方式，與其他類型相同，不過，仍然有一些事項需要考量。這個說明主題就在說明這些考量。

如果您所掃描的 MobileFirst Platform 專案含有已修改的檔案，則在掃描之前，您必須使用 MobileFirst Platform 來重建專案。如果您未使用 MobileFirst Platform 來重建專案，則 AppScan® 來源會忽略檔案的修改部分。

您可以遵循掃描中的指示，對 MobileFirst Platform 專案啟動掃描，或者，您也可以在專案層次、應用程式層次、環境（android）層次、應用程式環境下的一般資料夾或 HTML 檔層次上，按一下滑鼠右鍵，然後從功能表中選取執行掃描。

如果掃描包含 android 環境，您必須先使用 MobileFirst Platform 來建置專案。
若要能夠掃描 MobileFirst Platform 專案中的 Android 程式碼，您必須使用 Android 應用程式開發所用的 Android Developer Tools (ADT) Eclipse 外掛程式。

註：在掃描 MobileFirst Platform 6.1 版專案時，可能會延遲很久才開始掃描。如需相關資訊，請聯絡 HCL 支援中心，以瞭解使用 AppScan Source for Development Eclipse 外掛程式來掃描 Worklight 6.1 應用程式時的延遲。