使用Coverity进行Java静态分析时能否添加自定义扫描规则？

使用Coverity开展Java静态代码扫描时，可按以下流程配置自定义规则，让扫描过程完全按照自定义规则集执行：

• 前期准备
  先确认当前使用的Coverity版本支持Java自定义规则，2021及之后的正式版本都自带cov-java-rule-wizard规则编写工具，无需额外安装第三方插件。写规则前先把要落地的检查点拆成具象的判定逻辑，比如“禁止在Controller层直接调用DAO层方法”“敏感字段返回前必须做脱敏”这类明确的场景，不要写过于宽泛的判定条件，不然上线后会产生大量无效误报。
• 规则编写流程
  1. 在Coverity安装的bin目录下执行cov-java-rule-wizard启动规则编辑向导，选择Java语言规则模板
  2. 按实际检查需求配置匹配逻辑：简单的语法类检查（比如命名规范、注解缺失、特定API违规调用）直接在可视化界面点选对应的AST节点、配置约束条件即可；复杂的数据流、污点传播类检查，可以切换到内置代码编辑器，用类Java语法编写判定逻辑，可直接调用Coverity内置的上下文获取、污点追踪接口
  3. 给每条规则配置唯一标识、告警等级、修复指引，写完后先在向导的测试区导入对应场景的Java代码片段做校验，确认命中逻辑、排除逻辑都符合预期后，导出为.xldb格式的规则包
• 扫描阶段加载自定义规则
  本地命令行扫描时，在分析阶段加自定义规则目录参数即可，参考命令：

  # 构建阶段和常规扫描一致
  cov-build --dir ./cov-interm mvn clean package -DskipTests
  # 分析阶段指定自定义规则存放目录
  cov-analyze --dir ./cov-interm --java-custom-rules ./my-custom-rules/
  

  如果是用Coverity Connect做集中化扫描，直接把导出的规则包上传到平台规则库，在对应项目的扫描配置里勾选需要启用的自定义规则即可，不需要每次执行命令时手动指定路径。
• 规则上线注意事项
  • 新规则首次上线建议先设置为低优先级告警，不要直接加进阻断门禁，跑1-2个迭代收集误报case，把通用误报场景加到规则的排除逻辑里，确认误报率低于5%再调整告警等级
  • 自定义规则不要和Coverity内置规则重复覆盖同一个检查点，避免结果里出现重复告警
  • 如果规则涉及第三方依赖的API匹配，记得把对应依赖的jar包路径加到Coverity的类加载配置里，不然会出现规则匹配失效的问题

提示：Coverity免费社区版对自定义规则数量有限制，单批次最多加载20条Java自定义规则，商业版无该限制。

内容的提问来源于stack exchange，提问作者Divisha