java - 如何在 find-sec-bugs 中仅运行已定义的检测器

Question

我想对多个 jar 运行 findsecbugs 扫描（CLI 版本），我只希望它检查与错误使用加密函数（如使用 md5）相关的问题。我如何告诉 findsecbugs 只使用我定义的检测器？

谢谢！

Answer 1

CLI 包装了 SpotBugs 官方 CLI。FindSecurityBugs CLI 中将提供所有 SpotBugs 选项。您可以使用该-include参数来定义过滤器文件。过滤器文件可用于定义应考虑的检测器或类别。

findsecbugs.sh -include include.xml [...]

其他参考：

1. https://github.com/find-sec-bugs/find-sec-bugs/wiki/CLI-Tutorial
2. https://github.com/find-sec-bugs/find-sec-bugs/wiki/Maven-configuration