Fortify SCA 支持丰富的开发环境、语言、平台和框架，可对开发与生产混合环境进行安全检查。 25 种编程语言 超过 911,000 个组件级 API 可检测超过 961 个漏洞类别 支持所有主流平台、构建环境和 IDE。

Fortify SCA是一款商业软件，价格较为昂贵，因此我只找到了一个早期的版本进行试用。因为是商业软件，它有详细的使用文档，查阅非常方便。它支持一些IDE的插件功能，在安装的时候会有选项。

 

Fortify SCA的代码审计功能依赖于它的规则库文件，我们可以下载更新的规则库，然后放置在安装目录下相应的位置。bin文件放置在安装目录下Coreconfigrules文件夹，xml文件放置在CoreconfigExternalMetadata文件夹（如果该文件夹没有则新建一个）。

打开Audit Workbench，点击Start New Project->Advanced Scan选项就可以快速开始一个审计任务。选择需要审计的应用程序根目录，在Additional Options选项中选择使用的规则库，在Audit Guide提出的四个问题中选择对应的选项，点击Run Scan即可。

支持的编程语言：

支持的 IDE

Eclipse

IntelliJ Ultimate

IntelliJ Community Android Studio

IBM Rational Application Developer (RAD)

IBM Rational Software Architect (RSA)

Microsoft Visual Studio

支持的构建工具

Ant

Jenkins

Maven

MSBuild

Xcodebuild

支持的缺陷管理平台

Jira

ALM

Bugzilla

支持的代码管理工具

Git

SVN

TFS

覆盖众多的漏洞

包括 810 多个 SAST 漏洞分类，以确保符合 OWASP Top 10、CWE/SANS Top 25、DISA STIG 和 PCI DSS 等标准。