Coverity组件映射的设置，以及映射之后责任人信息不准确时的处理，其关键并不在于一开始就去给每一个人分配缺陷，而是需要先把代码的目录结构、组件的边界、规则的匹配顺序，还有负责人之间的对应关系，这几样东西给理顺清楚。组件映射这件事，通常是按照文件的路径规则，把代码划分到不同的组件里面去，这样一来，后续的缺陷筛选、报表的统计，还有责任的分配，才会有基础。

随着项目代码规模变大，Coverity的检查结果要是全部堆在一个列表里，后面无论是分派任务还是统计缺陷都会变得很乱。解决这个问题，比较有效的办法是配置组件映射，其实就是按照代码的文件路径把问题自动归类到不同组件下，这样哪个团队该处理哪部分代码就一目了然。Coverity Connect本身支持组件功能，允许用户通过文件规则把源代码文件做逻辑分组，而且在一个组件映射里可以添加多条规则，还能设置这些规则的优先级，让匹配更准确。

在静态代码扫描刚刚接入项目的时候，有一个情况是挺常见的，那就是团队想把某个版本作为一个新的质量起点，后面只盯着新冒出来的问题去看，可是等把基线重建完了，再打开Coverity的页面，发现以前那些旧的缺陷还是能看得见，于是就很容易觉得，是不是基线没有生效，其实，在Coverity里面，基线的调整，更多是影响到问题怎么去对比、新增怎么去判断，还有质量门禁按什么口径来卡，它并不会自动地帮你把历史缺陷都给删掉，所以处理的时候，要先分清楚，“重置基线”跟“清理旧问题”，这是两件不同的事。

在Coverity里分配缺陷，真正要先分清的是“手工指派”和“自动指派”两条线。官方文档里已经把这两层拆开了，一层是在Coverity Connect里通过triage修改缺陷属性，另一层是基于SCM历史和owner assignment rules做自动归属；另外，组件映射本身也支持文件规则和执行优先级，所以缺陷最后落到谁手里，往往不只是点一下Owner，而是规则、组件和SCM三层一起作用。

Coverity里真正影响协同效率的，不是规则扫出了多少条，而是同一条CID在不同团队手里能不能按统一口径流转。官方文档把triage data定义为挂在CID上的处置数据，典型包括classification、action、severity和owner；同时每个stream都要关联一个triage store，用来保存当前和历史处置值。

Coverity对C/C++等编译型项目进行分析前，需要先获取真实编译过程中使用的源文件、宏定义、头文件路径和编译器参数，并把结果写入中间目录。如果只是执行了cov-build，但内部没有发生实际编译，或者编译器没有被正确识别，就可能出现构建成功、中间数据却几乎为空的情况。处理“Coverity怎么捕获编译过程，Coverity捕获编译后没有生成中间数据如何排查”时，应把编译器配置、实际构建命令和build-log.txt结合起来检查。

Coverity缺陷状态怎么流转，Coverity缺陷状态和修复进度怎么同步，这类问题，是代码静态扫描被接入到研发流程以后，必须得理清楚的。Coverity把缺陷给找出来，这只是头一步，真正会拽住团队效率的，是后面怎么去分派、怎么去确认、怎么去修、怎么再扫一遍，还有怎么去关上。缺陷的那些状态，要是就只在工具自己的页面里头变来变去，那研发、测试、安全，还有项目管理，这几边的人看见的进度，就很容易凑不到一块儿去。一个比较稳当的搞法，是把扫描的状态、人手工判定的状态、修完的最后期限，还有外头工单上的状态，都给分开来管，然后再靠一套规矩，把它们给串起来。

在Coverity里，分析流这个概念通常对应着一个具体的代码分支、一条版本线，或者某个固定的构建入口；所以一个项目底下往往可以挂上好几个不同的stream，比如main主干一个，release发布分支一个，feature特性分支再单独一个，分别用来接收和存放各自的扫描结果。要是对stream的管理不够上心，最容易碰到的问题就是缺陷被稀里糊涂地交到了错误的分支里，修复状态在几个地方看起来对不上，或者同一个CID在不同版本的stream之间根本没办法放在一起比对。Coverity Connect在stream收到新的缺陷数据时，会专门生成一份snapshot，后面所有关于结果的对比，也基本都是围绕着snapshot和stream的范围来展开的。

项目在持续做静态分析的时候，光盯着某一次的扫描结果去看，其实很难说得清整体的质量到底是在变好还是变坏。要搞清楚Coverity里面怎么做快照之间的对比，以及快照差异的结果又要怎么导出来，关键就在于先要确认用来比较的这两份快照，它俩是来自同一个项目、同一条Stream底下的，并且扫描的范围和规则配置，也要尽量保持一样。做快照对比，主要就是去看新增了哪些问题、有哪些已经被修掉了、哪些还一直挂在那里，以及问题的状态发生了哪些变化，不要光去盯着总数的增加或者减少。

在SketchUp、Revit、Rhino这类软件里联动Enscape做渲染的时候，经常会碰到一种情况，模型本身挑不出什么毛病，可Enscape的窗口一打开，画面边缘就感觉发糊，材质上的纹理也不够利索，有灯光的地方甚至还带着明显的噪点，遇到这种事，不能把问题全推到显卡性能上，也不能一上来就把所有参数都拉满，比较稳当的做法，是先分清楚，这种发虚的感觉，到底是分辨率、渲染质量、景深、运动模糊、纹理贴图带来的，还是跟显示器的缩放以及导出时候的设置有关。

Coverity许可证并发怎么查看，还有许可证并发不足的时候要怎么排查，不能光看还能不能登录，或者扫描还能不能跑。Coverity在不同的部署和授权方式下，可能会受到许可证服务器、授权feature、团队成员数量、代码规模，或者扫描任务占用这些方面的限制。实际排查的时候，要先弄清楚碰上的情况，到底是浮动许可证被别人占满了，还是许可证路径、服务器连接、授权项目没有对上，才导致失败，这样才不会一开始就错怪到并发不够上面去。

Coverity构建捕获怎么配置，还有构建捕获不到编译命令的时候又该怎么办，做静态代码扫描时常会在这两步被卡住。Coverity分析C/C++、Java、C#这类编译型项目时，一般需要先把真实的构建过程捕获下来，这样工具才能知道源文件是怎么被编译的，用了哪些宏定义、头文件路径在哪里，以及编译时带了哪些参数。配置的时候，不能只把源码目录丢给工具，还得让它看到一次完整、干净、可复现的构建过程。

项目里面只要夹杂了第三方库、自动生成的代码、测试用的桩模块，还有那些为了兼容老版本而保留的历史目录，这些内容并不一定都要被Coverity扫进去。这时候我们就得弄明白两件事：Coverity里到底怎么去设置忽略目录的规则，以及当这些规则加好以后，如果发现忽略路径并没有生效，又该从哪些地方开始排查。这里的一个关键，是先分清当前所做的忽略到底发生在整个流程的哪一个阶段。比较常见的处理方式，可以是在代码被捕获之前就直接把它排除掉，也可以在分析环节启动之前再把它移除掉，还可以到Coverity Connect里去用组件映射的办法，把那些我们不打算花精力去管的问题归拢起来。按照Black Duck社区里一些资料的说法，coverity_config.xml里面的skip_file这个配置项，就能够用来排除那些既不想提交发射、也不打算让分析器去碰的文件和目录。

在代码扫描结果评审的时候，经常会碰到这样一类情况，开发的人看到了缺陷，想把它的状态改成误报、已经确认、等着修复，或者是指定给某一个人去处理，可页面上的按钮却是灰色的，又或者点了保存以后，状态压根儿就没有变，其实，在Coverity Connect里面，审计这个操作，它本质上是一种分诊的权限，用户得在对应的流上面，拥有处理问题的权限才行，而且这个流，还必须关联着一个有效的分诊存储库，权限和对象的范围，只要有一个地方没对上，都会出现改不了的情况，按照官方的权限说明，分诊问题的权限，就是用来修改和更新某一个流里面，那些问题的分诊状态的。

在Coverity里做组件映射，真正麻烦的通常不是先建几个组件，而是后面文件到底按什么规则归到哪个组件。官方文档把这个逻辑讲得很直接，Coverity Connect会根据文件的绝对路径去匹配组件映射规则，而且采用的是第一条完整匹配成功的正则表达式结果。换句话说，组件映射不是简单贴标签，而是一套有先后顺序的归属规则。只要这层没理顺，后面缺陷归属、组件报表和责任分发都会跟着乱。

在Coverity Connect中，缺陷负责人属于Triage信息的一部分，可以针对单条问题手动指定，也可以结合组件或SCM提交历史自动分配。如果设置后仍显示Unassigned，或者换一个项目、流后又看到原负责人，往往不是简单的页面刷新问题。处理“Coverity怎么设置缺陷负责人，Coverity缺陷负责人分配后没有生效是什么原因”，需要先区分手动分配和自动分配，再检查Triage Store、权限和Stream级负责人规则。Coverity官方说明中，Owner字段可以直接填写或修改用户，同时自动负责人只会在满足相应规则时写入。

Coverity分析快照的对比这件事，还有如果对比出来的结果差异太大，该怎么处理，在做版本质量复查的时候，是经常会碰到的。快照对比，它不是只去看缺陷的总数是多了还是少了，而是要先去看一看这两次分析，是不是都在同一个项目里面、用的是不是同一个流、环境是不是同一套、规则是不是同一套，才能去比的。只要扫描的范围有了变化、规则集有了变化，或者路径有了变化，那对比出来的差异就会被放大。所以做判断之前，要先把对比的口径给固定下来，然后再分开去看新冒出来的问题、还留在那里的问题，还有已经不见了的问题，这样得出来的结论，才更有把握一些。

在Coverity的体系里，每一个被检测出来的缺陷，都会带上一个属于自己的CID编号，这个编号，就是用来标识和跟踪同一类问题的。想要弄明白在Coverity里面怎么去查看一条CID所对应的详细信息，关键就在于先在问题列表的视图里面，把那个CID给定位出来，然后再点进源码的详情页面，去细看它到底是被哪个检查器给揪出来的、触发的完整路径是怎样的、严重级别有多高，以及当前它处在什么样的处理状态之下。按照Coverity文档里的说法，你是可以直接拿这个CID编号去搜索特定问题的；同时也能通过不同角度的视图，比方说按项目、按组件、按问题本身的数据去分组，来把它给筛出来。

在代码静态分析刚刚导入项目的时候，经常会碰到这样一种情况：跑完一遍扫描，列表里面一下子冒出好几百条甚至更多的问题，如果就这么从上往下一行一行地改，很容易就把时间全耗在了那些低风险的告警上，而真正会造成崩溃、越界、资源泄漏，还有安全漏洞的问题，反而被拖到了最后面，一种比较稳当的做法，是先去做一次分层的筛选，然后再按照影响的范围、缺陷的类型、代码所处的位置，还有修起来要花多少成本，来安排处理的先后顺序。

在Coverity里做项目管理时，很多人会把分析流当成一个普通目录来理解，结果前面流已经建了，后面提交、归类和结果查看却总对不上。官方文档对stream的定位其实很明确，它是用来承载某一部分代码基线和缺陷数据的单位，而且必须先有stream，后面才能把分析结果提交到Coverity Connect。也正因为这样，分析流设置和结果查看本来就是一条线，前面流挂错了，后面看到的缺陷、趋势和筛选结果都会跟着偏。