如何正确合并多个Fortify扫描生成的FPR文件？

常见原因及对应解决方案 #

• 合并时未关闭项目ID校验
  不同应用生成的FPR默认携带独立的项目标识，FPRUtility默认仅合并相同项目ID的FPR，非同源项目的扫描内容会被自动丢弃。需要在合并命令中添加-allowDifferentProjectIDs参数跳过校验：

  FPRUtility -merge -allowDifferentProjectIDs -project foo.fpr -source bar.fpr -f foobar.fpr
  

• 多份FPR合并未按迭代流程操作
  该工具单次仅支持两份FPR合并，超过两份的场景需要逐次迭代合并：
  1. 先合并前两份生成中间FPR
  2. 再用中间FPR作为-project参数的取值，和下一份待合并的-source FPR执行合并
  3. 重复上述操作直到所有FPR合并完成
• 导出报告时未选择全量扫描数据
  合并完成的FPR会保留所有源文件的扫描快照，导出报告时需要在报告生成配置页勾选「包含所有扫描版本的结果」选项，不要仅选择单份快照的内容。
• 源FPR存在格式版本不兼容问题
  若不同扫描工具的版本差距过大，会导致低版本生成的FPR内容无法被正确识别合并。可以先将所有源FPR用同版本的Audit Workbench打开重新保存一次，统一格式版本后再执行合并操作。

内容的提问来源于stack exchange，提问作者jrobles_e36