簡(jiǎn)介

find-sec-bugs 即 Find Security Bugs，是SpotBugs的一款插件，用于Java Web應(yīng)用程序的安全審核。

特性

1）135 種 bug 模型

可以檢測(cè) 超過(guò)816個(gè)獨(dú)特的 API 簽名的 135 種類型的漏洞 。

2）支持多種框架和庫(kù)

涵蓋流行的框架，包括 Spring-MVC、Struts 和 Tapestry 等。

3）IDE集成

插件適用于 Eclipse、IntelliJ、Android Studio 和 NetBeans。
命令行集成可用于 Ant 和Maven。

4）持續(xù)集成

可以與 Jenkins 和 SonarQube 等系統(tǒng)集成。

5）覆蓋 OWASP TOP 10 和 CWE

對(duì)于每種錯(cuò)誤模式，都提供了廣泛的參考，并引用了 OWASP Top 10 和 CWE。

6）歡迎參與貢獻(xiàn)

項(xiàng)目開源，并且歡迎大家參與貢獻(xiàn)。

用法舉例

Maven

1）配置POM

配置SpotBugs Maven Plugin到pom.xml。

<build>
    <plugins>
        
        [...]
        <!-- SpotBugs Static Analysis -->
        <plugin>
            <groupId>com.github.spotbugs</groupId>
            <artifactId>spotbugs-maven-plugin</artifactId>
            <version>3.1.12</version>
            <configuration>
                <effort>Max</effort>
                <threshold>Low</threshold>
                <failOnError>true</failOnError>
                <includeFilterFile>${session.executionRootDirectory}/spotbugs-security-include.xml</includeFilterFile>
                <excludeFilterFile>${session.executionRootDirectory}/spotbugs-security-exclude.xml</excludeFilterFile>
                <plugins>
                    <plugin>
                        <groupId>com.h3xstream.findsecbugs</groupId>
                        <artifactId>findsecbugs-plugin</artifactId>
                        <version>1.9.0</version>
                    </plugin>
                </plugins>
            </configuration>
        </plugin>
    </plugins>
</build>

2）執(zhí)行檢查

mvn compile
mvn spotbugs:spotbugs

3) 結(jié)果分析

GUI方式:

mvn spotbugs:gui

XML Report:
查看target/findbugsXml.xml的結(jié)果報(bào)告。