一、Coverity 测试工具介绍

1.1 基础定义

Coverity 是新思科技（Synopsys Black Duck）旗下商用SAST静态源代码分析工具，源自斯坦福大学学术成果，无需运行程序，仅扫描源码即可提前挖掘代码缺陷、安全漏洞、编码合规问题，是航空、汽车、军工、嵌入式高安全领域主流代码测试工具。

简单理解：代码静态“CT体检仪”，属于白盒静态测试，不编译运行程序，就能发现运行期才会暴露的隐性Bug。

1.2 核心工作原理

1. 源码解析：读取源码，构建抽象语法树AST、控制流图CFG；
2. 跨函数数据流/污点传播分析：全局追踪变量、外部不可信输入（污点数据）全链路流转；
3. 路径敏感符号执行：模拟所有分支、循环、异常执行路径，普通简单扫描工具仅做正则匹配，Coverity 支持深度跨文件、跨函数分析；
4. 规则匹配：内置数千条检测规则，匹配缺陷并生成完整问题链路证据；
5. 缺陷分级+报告输出：区分误报，给出代码行、根因、修复方案。

1.3 支持编程语言与场景

1.3.1 支持语言

支持22+种编程语言，C/C++ 为核心优势，同时包含 Java、C#、Python、JS/TS、Go、Swift、Kotlin、PHP、Objective-C、Ruby 等。

1.3.2 核心适用行业

军工/航电（DO-178C）、汽车电子（ISO 26262、MISRA）、工业控制、医疗设备、金融高安全系统、大型后端、嵌入式底层系统。

1.4 三大核心检测能力

1.4.1 运行时致命代码缺陷（嵌入式重点）

内存类：内存泄漏、缓冲区溢出、数组越界、野指针、空指针解引用、未初始化变量；
资源类：文件句柄/套接字/数据库连接未释放；
并发类：死锁、多线程数据竞争；
运算类：整数溢出、符号转换错误、除零风险；
逻辑类：死代码、函数返回值未校验、拷贝错误等。

1.4.2 网络安全漏洞

覆盖 OWASP Top10、CWE 标准，可检测 SQL注入、XSS跨站、硬编码密钥、不安全反序列化、路径遍历等高危漏洞。

1.4.3 行业编码合规检查

原生支持 MISRA C/C++、CERT C/C++、DO-178、ISO 2626、国军标等行业编码规范，可自定义拓展行业规则。

1.5 工具组成模块

1. cov-analyze 扫描引擎：核心分析程序，对接 Make/CMake/Keil 等编译工具；
2. Coverity Connect：Web管理平台，用于项目管理、缺陷流转、审计、报表导出；
3. Code Sight IDE插件：VS Code/Eclipse/VS 实时编码检测；
4. CI/CD集成插件：Jenkins/GitLab 流水线自动扫描、门禁拦截。

1.6 核心优势 & 对比

1.6.1 核心优势

1. 极低误报率，深度数据流分析优于普通正则扫描工具；
2. C/C++ 嵌入式分析能力行业顶尖；
3. 完整缺陷追溯、基线、审计能力，适配军工/车载合规要求；
4. 支持增量扫描，大型代码库效率高；
5. 支持私有化离线部署，适配涉密场景。

1.6.2 同类工具区分

• Coverity：主打嵌入式、军工、汽车，侧重内存/并发/国军标合规；
• SonarQube：开源为主，侧重代码风格、Web漏洞，嵌入式能力弱；
• Klocwork：同嵌入式赛道，汽车领域使用较多；
• Fortify：Web安全漏洞更强，底层C/C++分析偏弱。

1.7 工具局限

1. 必须捕获完整编译过程，无法直接扫描零散源码；
2. 商业收费，无完整免费版本；
3. 交叉编译场景需要额外适配编译器。

二、GJB8114-2013 《C/C++语言编程安全子集》标准概述

2.1 标准基础信息

• 标准编号：GJB 8114-2013
• 发布时间：2013-07-10，实施时间：2013-10-01
• 适用范围：军用安全关键C/C++软件，其他军用软件可参照执行
• 规则分类：强制准则（必须遵守）、建议准则（推荐遵守）

2.2 标准整体结构

1. 通用部分：范围、引用文件、术语、总则；
2. C/C++ 共用准则（5大模块）：声明定义、版面书写、指针、分支、跳转、运算、函数、循环、类型转换、初始化、比较、变量等；
3. C++ 专用准则：类、构造/析构、虚函数、类型转换、内存、异常、模板等；
4. 评价规范：缺陷统计、违背率计算、等级划分；
5. 附录：规则索引、评价示例。

2.3 评价规则（核心审计要求）

2.3.1 计算公式

• $N$：软件总语句行数
• $L$：所有强制准则违背总行数
• 违背率 $P = \frac{L}{N} \times 1000‰$

2.3.2 评价等级

各项目可根据实际需求微调区间。

三、Coverity 与 GJB8114-2013 融合落地方案

Coverity 无官方预置GJB8114规则包，依托自定义规则、编译适配、平台管控、流水线集成能力，实现国军标全量落地，构建「缺陷检测+国军标合规」一体化体系。

3.1 规则能力分层匹配

3.1.1 原生复用（无需开发）

GJB8114大量规则与 Coverity 内置 MISRA / CERT 规则重合，直接启用：
指针、内存、数组越界、除零、函数签名、头文件保护、gets禁用、内存泄漏等。

3.1.2 配置开关（简单适配）

修改工具阈值/开关即可实现：
代码行数限制、函数行数限制、分支嵌套层数、无限循环管控、注释规范等。

3.1.3 自定义规则（军工特有）

GJB8114独有规则，需基于 Coverity 编码标准/自定义检查器开发：
宏管控、位域规则、变量命名、switch严格规范、C++菱形继承/异常规则等。

3.2 步骤1：搭建 GJB8114 专属规则集

3.2.1 规则文件路径

Coverity 规则根目录：$COVERITY_HOME/config/coding-standards/

1. 复制现有标准模板（如misrac2012），重命名为gjb8114_2013；
2. 核心文件：
   • config.xml：规则总开关、告警等级；
   • rules/：单条规则定义；
   • messages/：告警文案（绑定GJB8114编号+原文）。

3.2.2 规则开发规范

1. 规则ID命名：gjb8114_规则编号（例：gjb8114_R_1_1_1）；
2. 等级划分：强制准则=Error（阻断）、建议准则=Warning（提醒）；
3. 告警内容：必须标注GJB8114准则编号、规则原文；
4. 测试要求：基于标准内「违背/遵循示例」完成漏报、误报验证，输出工具能力确认报告。

3.2.3 简易规则示例

<!-- 示例：R-1-9-4 禁止for(;;)无限循环 -->
<rule id="gjb8114_R_1_9_4" severity="error" category="GJB8114-循环控制">
  <description>GJB8114 R-1-9-4：无限循环必须使用while(1)，禁止for(;;)</description>
  <pattern>for\s*\(\s*;\s*\)</pattern>
  <message>违背GJB8114强制准则R-1-9-4：禁用for(;;)，请使用while(1)</message>
</rule>

3.3 步骤2：扫描编译配置（嵌入式/交叉编译适配）

3.3.1 标准扫描命令

# 1. 捕获编译过程
cov-build --dir cov-int make

# 2. 执行分析，加载GJB8114规则集
cov-analyze --dir cov-int --coding-standard gjb8114_2013 --enable-all --timeout 3600

# 3. 上传结果至Coverity Connect
cov-commit-defects --dir cov-int --host 内网地址 --stream 项目名

3.3.2 嵌入式专项配置

1. 指定交叉编译器：cov-configure --compiler arm-linux-gcc；
2. 拦截头文件绝对路径；
3. 关闭编译器非标准扩展，适配位域、结构体对齐规则。

3.4 步骤3：Coverity Connect 平台适配

1. 项目规划：按型号/模块创建独立Stream，绑定GJB8114规则集；
2. 自定义字段：新增「GJB8114规则编号、规则类型、违背行数、整改状态」；
3. 基线&豁免：存量问题纳入基线，强制准则豁免必须附审批单；
4. 权限管控：按角色分配权限（开发/测试/管理员），适配涉密要求。

3.5 步骤4：CI/CD 流水线自动化门禁

3.5.1 流水线流程

代码提交 → 编译构建 → Coverity增量扫描 → 合规门禁 → 代码合入

3.5.2 门禁策略

1. 强制准则(Error)：直接阻断代码合入；
2. 建议准则(Warning)：仅记录，限期整改；
3. 禁止新增基线外违规项。

3.5.3 Jenkins 脚本示例

stage('GJB8114 代码合规检测') {
  steps {
    sh 'cov-build --dir cov-int make'
    sh 'cov-analyze --dir cov-int --coding-standard gjb8114_2013'
    script {
      def errorNum = sh(script: 'cov-format-errors --dir cov-int | grep "GJB8114-R" | wc -l', returnStdout).toInteger()
      if(errorNum > 0) {
        error "代码违背GJB8114强制准则，禁止合入！"
      }
    }
  }
}

3.6 步骤5：统计评价与报表输出

1. 从Coverity导出CSV/Excel报告，提取总行数N、违背行数L；
2. 计算违背率，对照标准生成评价结论；
3. 标准交付报表：基础信息、违规清单、统计结果、附件（日志/审批单）。

3.7 步骤6：IDE 本地检测

部署 Coverity Code Sight 插件（VS Code/Eclipse），本地编码时实时提示GJB8114违规，提前整改。

3.8 分阶段落地计划

1. 试点阶段（1-2周）：选取小模块，完成规则开发、用例测试；
2. 集成阶段（2-3周）：平台配置+流水线接入，全员培训；
3. 常态化运维（长期）：全项目推广，按月输出合规报告，定期迭代规则。

3.9 常见问题优化

1. 误报/漏报：补充测试用例，特殊场景配置审批白名单；
2. 扫描缓慢：开启增量扫描、模块并行分析；
3. 涉密环境：全内网离线部署，数据本地存储备份。

四、GJB8114-2013 与 Coverity 完整规则映射表

说明

• 适配类型：原生复用/配置开关/自定义规则
• 级别：强制(R)=Error、建议(A)=Warning

4.1 C/C++ 共用准则

4.1.1 5.1 声明定义（R-1-1 / A-1-1 系列）

4.1.2 5.2 版面书写（R-1-2 / A-1-2 系列）

4.1.3 5.3 指针使用（R-1-3 / A-1-3 系列）

4.1.4 5.4 分支控制（R-1-4 / A-1-4 系列）

4.1.5 5.5 跳转控制（R-1-5 / A-1-5 系列）

4.1.6 5.6 运算处理（R-1-6 / A-1-6 系列）

4.1.7 5.7 函数调用（R-1-7 / A-1-7 系列）

4.1.8 5.8 语句使用（R-1-8 / A-1-8 系列）

4.1.9 5.9 循环控制（R-1-9 / A-1-9 系列）

4.1.10 5.10 类型转换（R-1-10 / A-1-10 系列）

4.1.11 5.11 初始化（R-1-11 / A-1-11 系列）

4.1.12 5.12 比较判断（R-1-12 / A-1-12 系列）

4.1.13 5.13 变量使用（R-1-13 / A-1-13 系列）

4.2 C++ 专用准则

4.2.1 6.1 类与对象（R-2-1 / A-2-1 系列）

4.2.2 6.2 构造函数（R-2-2 系列）

4.2.3 6.3 析构函数（R-2-3 系列）

4.2.4 6.4 虚拟函数（R-2-4 系列）

4.2.5 6.5 类型转换（R-2-5 / A-2-5 系列）

4.2.6 6.6 内存释放（R-2-6 系列）

4.2.7 6.7 函数定义与使用（R-2-7 / A-2-7 系列）

4.2.8 6.8 异常处理（R-2-8 / A-2-8 系列）

4.2.9 6.9 其他条款（R-2-9 / A-2-9 系列）

五、补充说明

1. 落地优先级：优先「原生复用+配置开关」规则，再分批开发自定义规则；
2. 合规校验：所有规则必须使用标准内「违背/遵循示例」完成漏报、误报测试；
3. 报表适配：将GJB8114规则编号作为Coverity自定义字段，直接用于违背率计算与审计；
4. 告警统一规范：强制准则=Error（门禁阻断），建议准则=Warning（仅记录）。