Welcome
静态分析
使用静态分析 (SAST) 扫描 Web 和桌面应用程序中是否有安全漏洞。静态分析包括 Intelligent Finding Analytics (IFA) 和 Intelligent Code Analytics (ICA)。
扫描安全漏洞
要扫描源代码中的安全漏洞，请执行以下主题中的步骤。
使用命令行界面 (CLI) 生成 IRX 文件
要启动文件的分析，必须生成将提交进行扫描的 IRX 文件。要使用 CLI 生成 IRX 文件，请按照以下说明操作。
CLI 命令参考（Linux 和 macOS）
用于使用所下载并解压缩到本地磁盘的小型客户机命令行界面 (CLI) 来执行静态分析的 Linux 特定命令。

入门指南
欢迎使用 HCL AppScan on Cloud 文档，在其中可找到关于如何安装、维护和使用此服务的信息。
导航
本部分将介绍主 AppScan on Cloud 菜单栏上的项目，以及更详细信息的链接。
管理
定义用户、应用程序、策略以及配置 DevOps 集成。
动态分析
AppScan on Cloud 对生产、登台和开发环境的 Web 应用程序执行安全性扫描。对于开发环境，专用站点扫描技术可帮助扫描开放因特网无法访问的应用程序。
交互式监控
使用安装在应用程序上的代理程序，通过监控所有合法和恶意的交互，ASoC 可在运行时识别应用程序中的安全漏洞。从 IAST 不会发送其自有测试的意义上来说，该过程是“被动的”，因此可以无限期运行。
软件组成分析
使用软件组成分析 (SCA) 来扫描代码所用的开源和第三方包中的安全漏洞。SCA 包括智能结果分析 (IFA) 和智能代码分析 (ICA)。
静态分析
使用静态分析 (SAST) 扫描 Web 和桌面应用程序中是否有安全漏洞。静态分析包括 Intelligent Finding Analytics (IFA) 和 Intelligent Code Analytics (ICA)。
- 关于静态分析 (SAST)
- 静态分析的系统要求
  支持的操作系统以及在执行静态分析时 ASoC 可以扫描的文件、位置和项目类型。
- 扫描安全漏洞
  要扫描源代码中的安全漏洞，请执行以下主题中的步骤。
  - 在以下位置配置扫描： AppScan on Cloud
    配置静态分析扫描。
  - 使用 AppScan Go! 配置扫描
    AppScan Go! 将引导您配置和运行静态扫描。在云中运行扫描，或者使用插件执行自动扫描。
  - 使用命令行界面 (CLI) 生成 IRX 文件
    要启动文件的分析，必须生成将提交进行扫描的 IRX 文件。要使用 CLI 生成 IRX 文件，请按照以下说明操作。
    - 设置 Static Analyzer Command Line Utility
      对于静态分析，下载小型 Command Line Utility。将该实用程序解压缩到本地磁盘时，可以使用其命令行界面 (CLI) 来执行安全性分析。
    - 使用 CLI 配置 IRX 文件生成
      使用配置文件来生成 IRX 文件，可在配置文件中指定单独的目标，也可包含或排除目标。此外，还可使用配置文件指定能够帮助生成完整 IRX 文件的其他信息。
    - CLI 命令参考 (Windows)
      用于使用所下载并解压缩到本地磁盘的小型客户机命令行界面 (CLI) 来执行静态分析的 Windows 特定命令。
    - CLI 命令参考（Linux 和 macOS）
      用于使用所下载并解压缩到本地磁盘的小型客户机命令行界面 (CLI) 来执行静态分析的 Linux 特定命令。
      - 命令帮助
        使用命令 help 可检索可用命令的列表，或检索有关单个命令的信息。
      - 全局命令
        使用全局命令可以显示 CLI 帮助和 Static Analyzer Command Line Utility 版本信息。
      - 认证命令
        使用认证命令可登录到 ASoC 服务。
      - 配置命令
        使用配置命令可以准备文件以进行扫描。
      - 分析命令
        分析命令用于提交扫描请求供分析，或者用于处理已经提交的扫描请求。使用这些命令，还可以接收有关扫描的信息。这些信息对于自动执行脚本会非常有用。
      - 结果命令
        使用结果命令可以从分析服务中检索扫描结果。
      - 报告和日志命令
        使用报告命令可生成扫描日志和报告。
  - 使用插件或 IDE 在 IRX 文件中生成
  - 关于软件组成分析
    软件组成分析 (SCA) 识别并检查代码库中的开源软件包，以检测潜在的安全漏洞。SCA 可以分析单独的源代码文件和软件包管理器工件（如配置文件和锁定文件），以确定项目所依赖的开源软件包。
  - 静态分析集成
  - 将 HCL AppScan Source 评估提交到云以进行分析
    如果订阅了 HCL AppScan on Cloud，可在此处提交 AppScan Source 评估以进行分析。支持从 AppScan Source V9.0 或更高版本评估。您可以提交的扫描次数取决于您的 ASoC 订阅。
  - 针对 Java 扫描的最佳做法
  - 静态分析扫描结果
    SAST 扫描引擎会使用人工智能和互补技术来提高检测准确性和简化结果分析。
- 样本应用程序和脚本
  使用样本应用程序练习使用 ASoC 扫描。
- 静态分析故障诊断
  如果遇到静态分析的问题，可执行以下故障诊断任务来确定要采取的纠正措施。
结果
“扫描和会话”页面在 DAST、SAST、SCA 和 IAST 类别下列出扫描，您可以在其中查看扫描结果，包括扫描统计数据。要查看、重新扫描或下载报告，请选择扫描。“扫描和会话”页面在各个类别下列出扫描，您可以在其中查看扫描结果，包括扫描统计数据。要查看、重新扫描或下载报告，请选择扫描。
故障诊断
如果使用此服务时遇到问题，您可以执行这些故障诊断任务以确定要采取的纠正措施。
常见问题解答与参考资料
常见问题解答、有关将 ASoC 集成到产品生命周期 (SDLC) 的信息以及 ASoC API 文档。

CLI 命令参考（Linux 和 macOS）

用于使用所下载并解压缩到本地磁盘的小型客户机命令行界面 (CLI) 来执行静态分析的 Linux 特定命令。

注：必须以小写形式输入所有命令。