如何配置Fortify SCA Maven插件实现仅扫描./src目录

完全可以通过pom.xml的配置标签调整扫描范围，实现仅扫描项目下./src目录的需求，无需修改扫描插件的全局默认参数。

具体配置步骤 #

• 找到pom.xml中build > plugins节点下的Fortify SCA Maven插件配置段，利用插件自带的路径匹配规则定义扫描范围：
  • 设置sourceInclude标签，将需要纳入扫描的路径指定为src/**，匹配src目录下所有层级的源码文件
  • 设置sourceExclude标签，排除项目根目录下除src路径外的所有冗余扫描路径
• 可直接参考的配置片段：

<plugin>
    <artifactId>fortify-maven-plugin</artifactId>
    <configuration>
        <sourceInclude>src/**</sourceInclude>
        <sourceExclude>
            <exclude>**/*</exclude>
            <exclude>!src/**</exclude>
        </sourceExclude>
    </configuration>
</plugin>

配置有效性校验 #

• 配置完成后执行带调试日志的扫描命令mvn fortify:scan -X，在控制台输出的扫描路径清单中，确认仅./src目录下的文件被纳入扫描范围，避免将target构建目录、项目根目录的配置文件、本地依赖缓存等非目标路径纳入扫描产生无效结果。

配置注意事项 #

• 优先使用sourceInclude/sourceExclude规则定义扫描范围，不要直接修改插件默认的扫描根目录参数：这类规则和Maven原生的资源路径匹配逻辑兼容，在多模块Maven项目中可以自动适配各子模块的src路径，不会出现路径识别偏差。

内容的提问来源于stack exchange，提问作者naked_bear