在體驗 LLM 驅動的命令列開發工具時，許多人喜歡在本地使用 llama-server.exe 載入 GGUF 模型（如 Qwen 系列），既能節省 API 費用又能保護隱私。

不過，當嘗試將 Pi Coding Agent 連接到本地伺服器時，常會遇到 Server is not running in llama.cpp router mode 或 OpenAI API 401 Incorrect API key 等驗證錯誤。

這篇文章記錄了完整的除錯過程與最終解決方案，幫助你快速完成本地環境設定。

問題解析

為什麼預設情況下會連線失敗？

• 端點路由不符：Pi Agent 預設對接 llama.cpp 時，期待對方開啟多模型路由（Router Mode）。如果本地只是單純啟動單一 GGUF 模型，會無法通過驗證。
• API Key 驗證攔截：如果 llama-server 開啟了 --api-key，Pi Agent 若未帶入對應金鑰，或是被預設路徑引導至 OpenAI 官方伺服器，就會觸發 401 Unauthorized 錯誤。

解決步驟

步驟一：修改 llama-server 啟動批次檔

首先，確保你的 llama-server.exe 啟動時明確設定了 API Key。

在你的批次檔（例如 start-server.bat）中加入 --api-key 參數：

set MODEL=models\Qwen3.8-27B-UD-IQ1_S.gguf
set EXE=llama-server.exe

REM Large context for long code.
set CTX=16384
set BATCH=512
set NP=1

"%EXE%" ^
  -m %MODEL% ^
  -c %CTX% ^
  -np %NP% ^
  -cmoe ^
  -b %BATCH% -ub %BATCH% ^
  -ngl 999 ^
  --port 8080 ^
  --host 127.0.0.1 ^
  --api-key 12345678 ^
  -fa on ^
  -rea off ^
  --reasoning-format none ^
  --temp 0.3 ^
  --top-p 0.8 ^
  --top-k 30 ^
  --repeat-penalty 1.08 ^
  --context-shift

上面參數微調, 參考看看: 「思維鏈坍塌」超低位元量化模型遇到無休止內部思考、自我糾正
https://stackoverflow.max-everyday.com/2026/08/chain-of-thought-collapse/

啟動後，可以使用 CMD 的 curl 測試 OpenAI 相容端點是否正常運作：

curl http://127.0.0.1:8080/v1/models -H "Authorization: Bearer 12345678"

若有正確返回 JSON 格式的模型清單，代表伺服器端設定完成。

步驟二：配置 Pi Agent 的自訂 Provider

Pi Agent 允許透過設定檔擴充自訂的 Provider。

在 CMD 中建立並開啟設定檔：

if not exist "%USERPROFILE%\.pi\agent" mkdir "%USERPROFILE%\.pi\agent"
notepad "%USERPROFILE%\.pi\agent\models.json"

貼上以下 JSON 設定。重點在於要明確指定 "api": "openai-completions"，否則 Pi 會因為缺少通訊協定設定而報錯：

{
  "providers": {
    "local-llama": {
      "baseUrl": "http://127.0.0.1:8080/v1",
      "apiKey": "12345678",
      "api": "openai-completions",
      "models": [
        {
          "id": "models\\Qwen3.8-27B-UD-IQ1_S.gguf",
          "name": "Qwen3.8-Local",
          "contextWindow": 16384,
          "maxTokens": 4096
        },
        {
          "id": "models\\gemma-4-12B-it-qat-UD-Q4_K_XL.gguf",
          "name": "Gemma-4-12B-Local",
          "contextWindow": 16384,
          "maxTokens": 4096
        }
      ]
    }
  }
}

實際測試，模型名稱寫錯，還是可以正常執行，滿神奇的。

步驟三：驗證並啟動 Pi Agent

設定完成後，在 CMD 執行模型清單檢視指令：

pi --list-models

確認列表中出現了 local-llama 相關模型。

接著建立一個專用的啟動批次檔 run-pi-qwen3.8.bat：

@echo off
pi --model "local-llama/models\Qwen3.8-27B-UD-IQ1_S.gguf"

執行 run-pi.bat 即可順利在 Pi Agent 中與本地模型進行對話！

總結

解決此問題的核心在於：

1. 本地伺服器需顯式指定 API Key 並提供 OpenAI 相容端點。
2. Pi Agent 的 models.json 必須完整填寫 api: "openai-completions" 規範。

透過自訂 Provider 機制，不僅能繞過官方 API 限制，還能靈活切換各種在地端運行的 GGUF 大語言模型！

選 llama.cpp 比較好的感覺, 可以設定的參數比較多.

ollama 與 llama.cpp 底層皆基於 C/C++ 的推論引擎，但兩者的定位、使用對象與專案目標有著本質上的不同：

關鍵差異解析

1. llama.cpp：極致效能與底層控制

• 核心價值：由 Georgi Gerganov 開發，旨在讓大型語言模型能在無 GPU 或硬體受限的普通消費級設備（如 Mac Apple Silicon、普通 PC）上高效運行。
• 優勢：
  • 細粒度控制：可直接調整 KV 快取、GPU 層數分流 (-ngl)、Context 長度、Sampler 參數等。
  • 高擴充性：身為基礎架構，被無數上層工具（如 Python 庫 llama-cpp-python、text-generation-webui 等）整合。
• 劣勢：設定繁瑣，下載的模型需要手動管理檔案路徑與參數設定。

2. Ollama：極簡體驗與模型生態

• 核心價值：將 llama.cpp 包裝成極簡化的桌面/伺服器工具，核心體驗借鑑了 Docker。
• 優勢：
  • 開箱即用：只需執行 ollama run llama3，就會自動下載模型並直接啟動對話。
  • 模型庫管理：擁有官方模型庫 (library)，下載與更新非常方便。
  • 標準化 API：預設提供開箱即用的 REST API，能 seamlessly 介接 Open WebUI、AnythingLLM 或各類本地插件。
• 劣勢：預設封裝隱藏了許多底層參數，若要高度客製化推論細節，需要透過編輯 Modelfile 完成。

該如何選擇？

• 選 Ollama：如果你想要快速在本地端跑起 LLM、連結現成的 Web UI，或是為自己的應用程式快速接上本地 API。
• 選 llama.cpp：如果你是 C/C++ 開發者、需要整合嵌入式系統、或者需要對硬體推論細節進行極致優化與自訂。

這現象叫思維鏈坍塌，簡單說就是模型卡在思考迴圈裡鬼打牆！

當你用超低位元量化模型（像 Qwen 3.8 27B 搭配 IQ1_S）時，模型的大腦精準度被嚴重壓縮。這導致它在算下一個詞的時候猶豫不決，完全搞不懂自己什麼時候該打住並輸出答案，最後就演變成無休止的自我糾正小劇場。

想治好模型的鬼打牆，你可以從這三大招入手：

改提示詞（最快見效）

• 強制封口：在提示詞裡直接下達死命令，要求模型隱藏或停用思考過程。例如寫下：「請直接回答問題，嚴禁在回答前進行任何自我剖析、內部思考或草稿推演。」
• 給定無知預設範本：遇到抓不到的資訊，直接給它一套標準答案。例如加上：「你無法取得即時的時間與日期。若使用者詢問日期，請直接回應『我無法獲取目前的系統時間』，別再浪費時間思考。」

調推論參數

• 降低溫度值（Temperature）：調到 0.1 到 0.3 之間，讓模型的選擇更果決，減少徘徊不決的機率。
• 調低 Top-P / Top-K：縮小模型的選詞範圍，強迫它選機率最高的字，避免掉進選擇困難的陷阱。
• 設定重複懲罰（Repeat Penalty）：把係數稍微調高（比如 1.1 到 1.15），強制模型打破重複喃喃自語的模式。
• 設定終止字詞（Stop Sequences）：加入常見的思考標籤（例如 或特定結尾符號）當作硬性中斷點。

llama-server.exe 參數

加入的參數說明如下：

--temp 0.2：將溫度設定為 0.2，落在你要求的 0.1 到 0.3 之間，大幅提升選擇的確定性。

--top-p 0.8 與 --top-k 20：縮小選詞範圍，只保留高機率的詞彙組合。

--repeat-penalty 1.12：設定重複懲罰係數為 1.12，防止模型陷入無意義的文字循環。

llama-server（基於 llama.cpp）中，這些參數的預設值如下：

• –temp（溫度值）：預設值為 0.8。
• –top-p（Top-P 採樣）：預設值為 0.95。
• –top-k（Top-K 採樣）：預設值為 40。
• –repeat-penalty（重複懲罰）：預設值為 1.0（代表完全不施加重複懲罰）。
• –reverse-prompt（終止字詞）：預設值為空（即未設定任何反向提示詞或終止標籤）。
• 原本的 llama-server 設定偏向一般對話與創意生成，因此預設的採樣範圍較廣、隨機性較高。修改後的參數則顯著降低了生成過程中的不確定因素，能讓程式碼輸出與長文本生成更加穩定。

改用 np 1 會是更好的選擇。

主要原因說明：

1. 記憶體（VRAM）會被重複分配 設定 np 2 代表伺服器會把上下文長度（Context Window）預先切成 2 份獨立的空間。如果你的 context 設為 16384，系統實際上會為每份插槽分配記憶體。在單人使用的個人電腦上，這會無謂消耗大量的顯存與記憶體。
2. 個人開發與 Agent 工具屬於單一請求 在使用 Pi Agent 或個人 CLI 工具時，基本上一次只會發送一個 Prompt 並等待回覆，完全不需要伺服器同時平行處理多個使用者的請求。
3. 效能與推論速度無關 np 設定的是平行處理的請求數量，而不是 CPU 或 GPU 的計算核心數。設成 2 並不會讓單一回應速度變快，甚至可能因為資源被瓜分而影響效能。

調整建議：

將批次檔中的設定改為： set NP=1

使用超少 VRAM 執行 Qwen3.8-27B

set MODEL=models\Qwen3.8-27B-UD-IQ1_S.gguf
set EXE=llama-server.exe

REM Large context for long code.
set CTX=16384
set BATCH=512
set NP=1

"%EXE%" ^
  -m %MODEL% ^
  -c %CTX% ^
  -np %NP% ^
  -cmoe ^
  -b %BATCH% -ub %BATCH% ^
  -ngl 999 ^
  --port 8080 ^
  --host 127.0.0.1 ^
  --api-key 12345678 ^
  -fa on ^
  -rea off ^
  --reasoning-format none ^
  --temp 0.3 ^
  --top-p 0.8 ^
  --top-k 30 ^
  --repeat-penalty 1.08 ^
  --context-shift

如果顯示:

KV cache shifting is not supported for this context, disabling KV cache shiftin

代表該模型架構不支援 –context-shift，可以直接將這個參數移除，避免系統輸出無用警告。

如果顯示:

OUT_OF_DEVICE_MEMORY

VRAM 完全爆掉（UR_RESULT_ERROR_OUT_OF_DEVICE_MEMORY） Qwen3.8-27B 模型的層數（Layers）通常只有 64 層左右，但批次檔傳入了 -ngl 256。系統會嘗試把全部 64 層加上 KV Cache 與預載矩陣通通塞進顯示卡的記憶體（VRAM），導致後端在做矩陣相乘時直接拋出記憶體不足的例外。

調降 -ngl（GPU 卸載層數）

將 -ngl 從 256 調降為 0 或 4~8。

• 如果想完全用 CPU 穩定跑：設 -ngl 0。
• 如果想嘗試讓內顯分擔少量運算：設 -ngl 6。

加入 --load-mode non 避免載入異常

混合 CPU 與 GPU 載入大模型時，--load-mode none（若要開啟 mmap 則是 --load-mode mmap）

單純用 CPU 跑的比 GPU 還快

開啟 GPU（Intel UHD 770 混合運算，-ngl 10）後的處理速度變慢（從純 CPU 的 ~23 t/s 降至 ~9-10 t/s），主要有以下四個原因：

• 跨匯流排傳輸開銷（PCIe / System Bus Overhead） 當你設定 -ngl 10 時，模型被切成兩部分：10 層在 GPU 運算，剩下的 30+ 層在 CPU 運算。模型在計算每一層神經網路時，張量資料（Tensors）必須不斷在 CPU 記憶體與 GPU 共享記憶體之間透過系統匯流排來回搬移。這個「跨邊界同步」的等待時間，遠遠超過了內顯幫忙計算所節省的時間。
• Intel UHD 770 算力與記憶體頻寬有限 UHD 770 是 CPU 內建的顯示晶片，它沒有獨立的高速 VRAM（如 GDDR6 或 HBM），而是與 CPU 共享相同的 DDR 系統記憶體。因此 GPU 運算時無法享受獨立顯卡的大頻寬優勢，反而會跟 CPU 搶奪記憶體頻寬。
• SYCL / Level Zero 驅動與框架轉換成本 llama.cpp 將矩陣運算派發給 Intel SYCL/Level Zero API 時，需要額外的 Context 切換與 Kernel 呼叫成本。對於規模較小或算力較弱的內顯，API 呼叫與同步的開銷比純 CPU 執行 AVX-512 / AMX / AVX2 原生指令集還要高昂。
• Batch Size 調小帶來的代價 將 -b 從 512 降到 128 雖然解決了 VRAM 崩潰問題，但也降低了 Prompt Processing（平行矩陣運算）的吞吐量，導致整體的速度指標下降。

建議結論

對於 Intel UHD 770 這類內建顯示卡，執行 12B 以上的大模型時，完全使用純 CPU 運算（-ngl 0）會是整體效率最高且最穩定的選擇。

升級模型與設定

• 別用 IQ1 系列超低量化：IQ1_S 壓縮得太誇張，模型邏輯會直接崩潰。建議至少提升到 Q3_K_M 或 Q4_K_M。
• 關閉內建思考機制：如果版本支援切換，直接在推論端把思考模式（Reasoning/Thinking）關掉，讓它回歸傳統的單向輸出。

實際遇到的回覆

Hi! I don't have a way to verify the current date or time, so I'll need to rely on the user's message to determine today's date. Based on the context, it looks like the user is asking "今天幾月幾日?" (What date is today?) — the user is asking for the current date.

I should respond with today's date. But wait — I'm an AI, I don't know the exact date unless I can get it from the system. Actually, I do not have access to the current date. I should respond naturally — perhaps ask or say I don't know the exact date, or...

Wait, the user is asking in Chinese "今天幾月幾日?" = "What day is today?" I should respond in Chinese, since they asked in Chinese. I can respond in Chinese.

But do I know today's date? I can't be 100% certain of the date. I should say I'm not sure what date it is... no, as an AI I do not know today's date. I should say I don't know today's date, or... hmm.

Actually, I should respond naturally. The user said "hi". I should respond in Chinese (matching the user's language) and ask about the date, or just say hi.

Let me respond naturally in Chinese: "嗨！今天几号？" — the user is asking for the date. I should respond: I don't know today's date...

Actually I should just naturally respond: "嗨！今天幾月幾日?" — the user is asking for the date. I don't know today's date. I should respond: I'm not sure what today's date is. I don't have access to the current date.

I could ask: "What date do you think it is today?" No, that's weird. Let me just respond naturally.

I think a natural response would be: "嗨！我不太知道今天的日期……" or "嗨！今天几号？我不知道今天的日期".

Actually, maybe the user just wants to chat. Let me respond naturally in Chinese: "嗨！今天几月幾日？我不太知道今天的日期……" — or something casual.

Let me think: the user said "今天幾月幾日?" — a casual "hi". A natural response: "嗨！今天幾月幾日？" — no, that's weird. Let me just say: "嗨！今天幾月幾日？" No, that's weird.

Simple response: "嗨！今天幾月幾日？" — I don't know today's date, so I'll say: I don't know today's date. Or: I don't know today's date, but I do know it's a nice day!

I think I'll just respond: "嗨！今天幾月幾日？" — no.

Let me just respond: "Hi! 今天幾月幾日？" — hmm.

I think I'll respond naturally: "嗨！今天幾月幾日？" — the user is asking for the date. I'll respond: I don't know today's date.

Actually, since I don't know the current date, I can just say I don't know today's date. Let me respond naturally: "嗨！今天幾月幾日？" — or just "Hi! 今天幾月幾日?" —

I'll just respond: "Hi! 今天幾月幾日?" — no, that's weird.

Final response: "Hi! 今天幾月幾日？" — I'm not sure what the date is...

I think I'll just respond naturally: "Hi! 今天幾月幾日?" — no, just: "Hi! 今天幾月幾日?"

Let me just respond naturally: "Hi! 今天幾月幾日?" — no.

I'll just respond: "Hi! 今天幾月幾日?" — or "Hi! 今天幾月幾日?" —

I'll just respond naturally: "Hi! 今天

Pi Agent（AI Client） 在呼叫 llama-server（LLM Server） 時，因為 超時（Timeout） 與 上下文視窗（Context Window）飽和 所產生中斷問題

一、為什麼會中斷？

主要原因有兩個：推論耗時過長觸發 API 超時，以及 Context 長度已逼近上限。

1. Prompt Processing 耗時近 5 分鐘，觸發前端 Client 超時
   • 從 Task 2924 的日誌可以看到：
     prompt eval time = 285341.69 ms / 2528 tokens (8.86 tokens per second) eval time = 0.00 ms / 1 tokens
   • 光是處理送進去的 2528 個 Token（Prompt Processing），純 CPU 就花了 285 秒（約 4.75 分鐘）。
   • 關鍵點：當 Prompt Eval 剛算完、才剛要開始產生第 1 個文字 Token（eval time = 0.00 ms）時，請求就被中斷了。這是因為 Pi Agent（或中間的 HTTP Client）等不到回應，達到 Timeout 上限而強制斷線。
2. Context 容量接近上限（10K 邊界）
   • Task 2473 釋放時 n_tokens = 10785，Task 2924 釋放時 n_tokens = 12867。
   • 你的批次檔設定 -c 10240，當對話紀錄疊加超過 10K 時，伺服器必須進行 Context 截斷或滑動視窗計算，這大幅拉長了 Prompt Eval 的計算時間。

二、需要修改 Server 端設定嗎？

是的，需要同時調整 Server 端參數與 Client 端設定。

1. 調整 Client 端（Pi Agent）的 Timeout 時間

這是解決中斷最直接的方法。Pi Agent 預設的 API 請求超時時間可能設在 120 秒或 180 秒，而你的純 CPU 處理 2.5K Tokens 需耗時 285 秒。

• 做法：請在 Pi Agent 的設定檔（config.json 或環境變數）中，將 HTTP / API 的 timeout 時間調大（例如改為 600 秒或 0 無限制）。

在 Windows 系統中，預設的設定檔與相關配置資料夾位於：

1. 修改 settings.json 檔

在 ~/.pi/agent/settings.json 檔案中新增或設定 timeout（以毫秒為單位）：

JSON

{
  "timeout": 600000
}

• 說明：預設通常為 5 分鐘（300000 毫秒）。此設定控制等待 LLM API 回傳與 HTTP 請求回應的最長時間。如需關閉或解除限制，可嘗試設為 0 或高數值（如 600000 代表 10 分鐘）。

2. 透過互動式 TUI / 內建命令調整

在 Pi 的互動模式中，可以直接開啟設定選單調校：

1. 執行 pi 進入互動介面。
2. 輸入 /settings 並按下 Enter 鍵。
3. 在選單中滾動尋找 HTTP Timeout（或 Timeout）選項並修改其數值。

建議使用 /settings 指令, 讓 http timeout = disable 即可.

2. 優化 Server 端（llama-server 批次檔）設定

為了提升純 CPU 的處理效率，建議對批次檔做以下幾項調整：

• 調大 Batch Size (-b / -ub) 以提升 Prompt Processing 速度
  • 純 CPU 在算 Prompt processing 時，把 -b 與 -ub 從 256 提高到 512 或 1024，能更好發揮 CPU 的多線程與指令集平行運算能力（AVX-512 / AVX2），大幅縮短這 285 秒的等待時間。
• 將快取數據類型改為 8-bit（-ctk q8_0 -ctv q8_0）
  • 隨著對話拉長到 10K，KV Cache 的讀取會吃掉大量 RAM 頻寬。開啟 KV Cache 量化可以節省一半的 KV 記憶體與讀取時間，對 CPU 生成速度有顯著幫助。
• 釋放被佔用的線程資源
  • 在上一輪設定中，-t 8 -tb 12 可能會讓 CPU 在跨 P-Core / E-Core 時產生高昂的切換成本。建議統一設為 CPU 的實體大核數（P-Cores），例如全部設為 -t 11 -tb 11。

三、修改後的 Server 啟動批次檔

修改後的腳本範例：

set MODEL=models\Qwen3.8-27B-UD-Q5_K_M.gguf
set EXE=llama-server.exe

set CTX=32768
set BATCH=1024
set NP=1
set NGL=0

set ONEAPI_DEVICE_SELECTOR=*:cpu

"%EXE%" ^
  -m %MODEL% ^
  -c %CTX% ^
  -np %NP% ^
  -b %BATCH% -ub %BATCH% ^
  -ngl %NGL% ^
  -t 11 ^
  -tb 11 ^
  -ctk q8_0 -ctv q8_0 ^
  --load-mode mlock ^
  --port 8080 ^
  --host 127.0.0.1 ^
  --api-key 12345678 ^
  -fa on ^
  --reasoning-format none ^
  --temp 0.3 ^
  --top-p 0.8 ^
  --top-k 30 ^
  --repeat-penalty 1.08

模型的 Context（上下文長度）已經徹底爆表，觸發了限制

這次中斷的原因與上一次不同。這次不是因為運算太慢超時，而是模型的 Context（上下文長度）已經徹底爆表，觸發了限制。

看這兩行關鍵日誌：

Plaintext

64.02.764.301 I slot release: id 0 | task 24 | stop processing: n_tokens = 12972, truncated = 0

Plaintext

eval time = 0.00 ms / 1 tokens

你的批次檔設定 -c 10240（10K），但目前對話累積的 Token 數已經達到 12,972 個（包含了先前閱讀大量 Caddyfile、index.php、JWT.php 的檔案內容）。

當 n_tokens（12,972）超過 -c 設定的容量上限（10,240）時，llama-server 會直接終止該次生成並釋放 slot，導致連 1 個 Token 都沒印出來 就不動了。

解決方案

要徹底解決這個問題，有以下兩種處理方式：

方案一：在 Pi Agent 中清理對話歷史（最快速）

Agent 剛才讀取了大量的後端程式碼，導致 Context 被塞滿。

• 在 Pi Agent 中輸入修剪/重置對話的命令（例如 /clear 或開啟一個新的 session）。
• 重新要求它修復漏洞，這樣 Context 就不會溢出。

方案二：調大 Server 的 Context 並開啟記憶體優化（一勞永逸）

由於 Agent 做寫程式與資安診斷任務時，閱讀與分析程式碼需要極大的 context，10K 實在太小。建議將 Context 擴充至 24,576 (24K) 或 32,768 (32K)。

為了防止 Context 變大導致 RAM 爆掉，請配合 KV Cache 8-bit 量化（-ctk q8_0 -ctv q8_0），這能省下近一半的記憶體用量。

修改後的 startup 批次檔範例：

set MODEL=models\Qwen3.8-27B-UD-Q5_K_M.gguf
set EXE=llama-server.exe

:: 將 Context 調大到 24K (24576) 或 32K (32768)
set CTX=24576
set BATCH=512
set NP=1
set NGL=0

set ONEAPI_DEVICE_SELECTOR=*:cpu

"%EXE%" ^
  -m %MODEL% ^
  -c %CTX% ^
  -np %NP% ^
  -b %BATCH% -ub %BATCH% ^
  -ngl %NGL% ^
  -t 8 ^
  -tb 8 ^
  -ctk q8_0 -ctv q8_0 ^
  --load-mode mlock ^
  --port 8080 ^
  --host 127.0.0.1 ^
  --api-key 12345678 ^
  -fa on ^
  --reasoning-format none ^
  --temp 0.3 ^
  --top-p 0.8 ^
  --top-k 30 ^
  --repeat-penalty 1.08

請依序嘗試以下解決方案：

1. 增加 Fortify 掃描的記憶體上限

預設的記憶體設定可能不足以處理大型專案或複雜的 PHP 檔案。可以在執行 sourceanalyzer 命令行中加入 -Xmx 參數來提高記憶體配額：

命令列執行 (CLI)：

sourceanalyzer -b <build_id> -Xmx16G -scan -f result.fpr 

(可依你的伺服器硬體規格調整，例如 -Xmx12G 或 -Xmx24G)

若使用 GUI (Audit Workbench / ScanWizard)：

開啟 Fortify Audit Workbench。

進入 Options > Global Settings > Memory Options。

將 Maximum Allocation (-Xmx) 調大（如 16384 MB）。

修改全域設定檔 (fortify-sca.properties)：

找到 Fortify 安裝目錄或使用者目錄下的設定檔（例如 <Fortify_Home>/Core/config/fortify-sca.properties），修改或加入以下參數：

com.fortify.sca.ProjectScanMemoryMB=16384

2. 排除不必要的檔案或大型自動生成檔

從錯誤堆疊可看出問題出在解析 PHP 的 hereDoc 語法（可能是巨大的模板檔、自動生成的 SQL/Data 檔、或是包含大字串陣列的檔案）。

如果增加記憶體後仍失敗，建議排除非必要的第三方套件與靜態檔：

在翻譯（Translation）階段使用 -exclude 排除特定目錄或檔案：

sourceanalyzer -b <build_id> -exclude "/vendor/" -exclude "/node_modules/" -exclude "/*.min.js" src/

過濾大檔案：

可以在 fortify-sca.properties 中限制 Fortify 解析單一檔案的大小上限：

com.fortify.sca.limit.file.size=10240 

(單位為 KB，例如設定 10240 會跳過大於 10MB 的單一原始碼檔案)

3. 採用「雙階段掃描」分離記憶體開銷

若原本是單一指令執行，請改為將翻譯 (Translation)與掃描 (Scan)拆為兩個獨立步驟，並只在掃描階段調大記憶體：

# 第一步：翻譯階段
sourceanalyzer -b myproject -clean
sourceanalyzer -b myproject ./src

# 第二步：分析掃描階段 (在此處給予最大記憶體)
sourceanalyzer -b myproject -Xmx16G -scan -f result.fpr

建議處理順序

1. 直接將記憶體調大至 16G (-Xmx16G) 重試一次。
2. 若依然爆記憶體，檢查專案中是否有包含大量文字資料的 .php 檔案（如大陣列檔、DB dump 檔、巨型 Heredoc 模板），並使用 -exclude 將其排除。

detail error message:

[error]: There is not enough memory available to complete analysis.  For details on making more memory available, please consult the user manual.
java.lang.OutOfMemoryError: GC overhead limit exceeded
	at com.fortify.frontend.php.parser.PHPLexerBase.nextToken(PHPLexerBase.java:95) ~[?:?]
	at org.antlr.v4.runtime.BufferedTokenStream.fetch(BufferedTokenStream.java:169) ~[antlr4-runtime-4.13.1.jar:4.13.1]
	at org.antlr.v4.runtime.BufferedTokenStream.sync(BufferedTokenStream.java:152) ~[antlr4-runtime-4.13.1.jar:4.13.1]
	at org.antlr.v4.runtime.BufferedTokenStream.nextTokenOnChannel(BufferedTokenStream.java:325) ~[antlr4-runtime-4.13.1.jar:4.13.1]
	at org.antlr.v4.runtime.CommonTokenStream.adjustSeekIndex(CommonTokenStream.java:70) ~[antlr4-runtime-4.13.1.jar:4.13.1]
	at org.antlr.v4.runtime.BufferedTokenStream.consume(BufferedTokenStream.java:137) ~[antlr4-runtime-4.13.1.jar:4.13.1]
	at org.antlr.v4.runtime.Parser.consume(Parser.java:571) ~[antlr4-runtime-4.13.1.jar:4.13.1]
	at org.antlr.v4.runtime.Parser.match(Parser.java:205) ~[antlr4-runtime-4.13.1.jar:4.13.1]
	at com.fortify.frontend.php.parser.PHPParser.hereDocPart(PHPParser.java:9032) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.hereDocExpr(PHPParser.java:8947) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.primaryExpr(PHPParser.java:9230) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.exponentExpr(PHPParser.java:8627) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.unaryExpr(PHPParser.java:8571) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.instanceofExpr(PHPParser.java:8470) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.notExpr(PHPParser.java:8412) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.productExpr(PHPParser.java:8321) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.sumExpr(PHPParser.java:8222) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.shiftExpr(PHPParser.java:8123) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.comparisonExpr(PHPParser.java:8037) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.equalityExpr(PHPParser.java:7960) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.bitwiseAndExpr(PHPParser.java:7883) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.bitwiseXorExpr(PHPParser.java:7805) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.bitwiseOrExpr(PHPParser.java:7727) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.booleanAndExpr(PHPParser.java:7649) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.booleanOrExpr(PHPParser.java:7571) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.nullCoalescingExpr(PHPParser.java:7501) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.ternaryExpr(PHPParser.java:7426) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.assignExpr(PHPParser.java:9557) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.primaryExpr(PHPParser.java:9276) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.exponentExpr(PHPParser.java:8627) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.unaryExpr(PHPParser.java:8571) ~[?:?]
	at com.fortify.frontend.php.parser.PHPParser.instanceofExpr(PHPParser.java:8470) ~[?:?]

這兩個問題解答如下：

第一題：Bash 命令列上的 myproject 存在哪裡？

在 Fortify 命令列中：

sourceanalyzer -b myproject -clean
sourceanalyzer -b myproject ./src
sourceanalyzer -b myproject -scan -f result.fpr

-b myproject 中的 myproject 稱為 Build ID（建置識別碼）。

它不是一個真實的專案資料夾名稱，而是 Fortify 在系統內部用來記錄「翻譯（Translation）階段抽取的原始碼 AST 語法樹與中間檔」的暫存標籤。

1. 實際檔案存在哪裡？

Fortify 會將 myproject 的中間檔案儲存在使用者家目錄下的 Fortify SCA 暫存區：

• Linux / macOS:
  ~/.fortify/sca<版本號>/build/myproject/
  
• Windows (PowerShell / CMD):
  C:\Users\<帳號>\.fortify\sca<版本號>\build\myproject\

2. 注意事項

• 執行 -clean 時（如 sourceanalyzer -b myproject -clean），Fortify 就會刪除這個路徑下名為 myproject 的暫存資料夾。
• 在同一次掃描任務中，Translation（翻譯）和 Scan（分析）必須使用完全相同的 Build ID。

第二題：如何匯出 DeveloperWorkbook PDF 報告？

Fortify 提供了一個專門的命令行報表工具 ReportGenerator，可以直接讀取掃描結果檔（.fpr）並套用 DeveloperWorkbook 範本產生 PDF 報告。

1. 匯出命令（Command-line）

請在 Terminal / Command Prompt 執行：

ReportGenerator -format pdf -f DeveloperWorkbook.pdf -source result.fpr -template DeveloperWorkbook.xml

2. 參數說明

• -format pdf：指定輸出格式為 PDF（亦支援 rtf）。
• -f DeveloperWorkbook.pdf：輸出的 PDF 檔案名稱。
• -source result.fpr：你前面掃描完成所產生的 .fpr 結果檔。
• -template DeveloperWorkbook.xml：指定使用研發團隊常用的 Developer Workbook 報表範本。

3. 補充技巧 (進階)

如果是系統找不到 DeveloperWorkbook.xml：請加上完整的範本路徑，預設位在 Fortify 安裝目錄下：

# Linux / macOS
ReportGenerator -format pdf -f DeveloperWorkbook.pdf -source result.fpr -template /opt/Fortify/Core/config/reports/DeveloperWorkbook.xml

# Windows
ReportGenerator -format pdf -f DeveloperWorkbook.pdf -source result.fpr -template "C:\Program Files\Fortify\Core\config\reports\DeveloperWorkbook.xml"

如果報告顯示的弱點數量被限制（例如預設只印前 5 個）：可以將 DeveloperWorkbook.xml 複製一份出來，用文字編輯器開啟，搜尋 limit="5" 並將其修改為 limit="-1"（代表不限數量，印出全部），再將修改後的 XML 作為 -template 帶入即可。

翻譯（Translation）階段需要限制 memory usage?

答案是需要。

雖然 Fortify 官方文件常強調在「分析（Scan）」階段給予大記憶體，但翻譯（Translation）階段如果記憶體不足，同樣會直接發生 OutOfMemoryError 或導致解析中斷（Crash）。

特別是你的案例中有大型 PHP 檔案（帶有巨型 Heredoc 語法），Fortify 在 Translation 階段進行語法解析（Lexing/Parsing）並建構 AST（抽象語法樹）時，就會在記憶體中吃掉大量空間。

1. 為什麼 Translation 階段也需要限制/調大記憶體？

1. 語法分析（AST 建構）： 翻譯階段並非只是「複製檔案」，而是將原始碼編譯成 Fortify 的內部中間語言（NST/AST）。遇到複雜的 PHP 樣板、巨型 JSON/SQL 字串或第三方套件時，記憶體開銷會瞬間衝高。
2. 預設記憶體通常太小： 若未手動指定，-b 翻譯階段會使用 Fortify 的預設配額（通常僅 1GB~2GB），極易觸發 java.lang.OutOfMemoryError: GC overhead limit exceeded。

2. 如何在 Translation 階段設定記憶體？

語法與 Scan 階段完全相同，直接在 sourceanalyzer 命令列加上 -Xmx 參數：

# 1. 先清除舊的 Build ID 暫存
sourceanalyzer -b myproject -clean

# 2. 【Translation 階段】給予足夠的記憶體（例如 16G）
sourceanalyzer -b myproject -Xmx16G ./src

# 3. 【Scan 階段】同樣給予足夠的記憶體
sourceanalyzer -b myproject -Xmx16G -scan -f result.fpr

3. Translation 階段記憶體優化的最佳做法

如果給了 -Xmx16G 在 Translation 階段依然記憶體溢位，請搭配以下優化策略：

主動過濾不需翻譯的目錄（最有效）：不要將非業務邏輯的套件帶入 Translation 階段：

sourceanalyzer -b myproject -Xmx16G \ -exclude "/vendor/" \ -exclude "/node_modules/" \ -exclude "/*.min.js" \ ./src

設定單一檔案大小上限（全域設定）：在 fortify-sca.properties 設定檔中加上 limit，防止 Translation 階段去解析幾十 MB 的巨型檔案：

com.fortify.sca.limit.file.size=10240

全域預設記憶體配置：若不想每次命令列都打 -Xmx，可在 fortify-sca.properties 中調整全域預設值，這會同時作用於 Translation 與 Scan 階段：

com.fortify.sca.ProjectTranslationMemoryMB=16384
com.fortify.sca.ProjectScanMemoryMB=16384

要匯出符合 OWASP Top 10 安全標準的 PDF 報告，選取的範本（Template）檔案說明如下：

1. 建議選擇的 Template 檔案

Fortify 官方內建了不同年份版本的 OWASP Top 10 報本 XML 檔，位於 Fortify 報表目錄中：

2. 命令行 (ReportGenerator) 執行指令

預設範本檔案存放在 Fortify 安裝目錄下的 Core/config/reports/ 資料夾中。

Linux / macOS:

ReportGenerator -format pdf \
  -f OWASP_Top10_Report.pdf \
  -source result.fpr \
  -template "/opt/Fortify/Core/config/reports/OWASP Top 10 2021.xml"

Windows:

ReportGenerator -format pdf ^
  -f OWASP_Top10_Report.pdf ^
  -source result.fpr ^
  -template "C:\Program Files\Fortify\Core\config\reports\OWASP Top 10 2021.xml"

(注意：路徑中包含空白字元，必須使用雙引號 "..." 包裹)

3. 在 Audit Workbench (GUI) 中選擇

若使用圖形化介面匯出：

1. 開啟 .fpr 結果檔。
2. 點擊選單 Tools > Generate Report。
3. 在 Report Template 下拉選單中選擇 OWASP Top 10 2021 (或 OWASP Top 10)。
4. 將 Format 設為 PDF，點擊 Save Report 即可。

關鍵技巧：印出「所有」弱點細節 (解除預設 5 筆限制)

Fortify 官方預設的 OWASP 範本為了控制 PDF 頁數，預設每個漏洞分類只會列出前 5 筆弱點細節 (limit="5")。

若你的報告需要列出全部弱點：

1. 將 OWASP Top 10 2021.xml 複製到你的工作目錄，改名為 OWASP_Custom.xml。
2. 用文字編輯器打開它，將裡面的 limit="5" 全部覆蓋替換為 limit="-1"（-1 代表不限制數量）。
3. 執行指令時帶入 -template OWASP_Custom.xml 即可印出完整清單。

command line manual:

sourceanalyzer --help
OpenText SAST (Fortify) CE 25.2.0.0116
Copyright (c) 2003-2025 Open Text

Usage:

  Clean:
     sourceanalyzer.exe -b <build-id> -clean
  Build:
     sourceanalyzer.exe -b <build-id> <sca-build-opts>
  Scan:
     sourceanalyzer.exe -b <build-id> -scan <sca-scan-opts>

Detailed invocation:

  Build:
     sourceanalyzer.exe -b <build-id>
          [ <sca-build-options> ]
          <file-specifier>
     sourceanalyzer.exe -b <build-id>
          [ <sca-build-options> ]
          <compiler> <compiler-options>
     sourceanalyzer.exe -b <build-id>
          [ <sca-build-options> ]
          touchless <build-tool> [ <build-tool-options> ]
     sourceanalyzer.exe -b <build-id>
          [ <sca-build-options> ]
          devenv <solution-file> /REBUILD
     sourceanalyzer.exe -b <build-id>
          [ <sca-build-options> ]
          msbuild /t:rebuild <solution-or-project-file>
     sourceanalyzer.exe -b <build-id>
          [ <sca-build-options> ]
          xcodebuild -project <xcodeproj-file>
     sourceanalyzer.exe -b mybuild
          -source-base-dir <webapp-root> <cfm-file-specifier>
  Scan:
     sourceanalyzer.exe -b <build-id> -scan
          [ -f <output-file> ]
          [ -scan-precision <level> ]
          [ -rules <rules.xml> [ -no-default-rules ] ]
          [ -filter <filter-file> ]
  Clean:
     sourceanalyzer.exe -b <build-id> -clean
  Query:
     sourceanalyzer.exe -b <build-id> { -show-build-warnings | -show-files }
     sourceanalyzer.exe { -version | -show-build-ids }
     sourceanalyzer.exe { -h | -? | -help }



Options


General Options
These options are applicable to all sourceanalyzer.exe invocations.

  @<file>                     Reads command line options from the specified
                              file.  Note that there is no space before the
                              file argument.

  -debug                      Causes the build step to write additional
                              troubleshooting information to the log file.
                              Use if instructed by Fortify Customer Support.
                              Also see "-logfile".

  -logfile <file>             Specifies a destination for the log file.

  -verbose                    Outputs verbose messages to the console.

  -Xmx<num>M                  Specifies the maximum Java heap size.
                              Default is -Xmx1800M.

  -autoheap                   Instructs SCA to set the maximum Java heap size
                              based on available physical memory. Use instead
                              of -Xmx.  Enabled by default.

  -fcontainer                 When run in a Docker container, instructs SCA
                              to detect and use only the memory allocated to
                              the container.

  -version                    Shows the sourceanalyzer.exe version.


Command Options
Note: Only one "command" option is allowed per invocation.


  -h                          Displays this help text.
  -help
  -?

  -clean                      Deletes all intermediate files and build records.
                              When a build ID is also specified with -b, only
                              files and build records related to that build ID
                              are deleted.

  -show-binaries              See the user guide.
  -show-build-tree            See the user guide.

  -show-build-ids             Lists all the Fortify build IDs (analysis models).

  -show-build-warnings        Displays all the actionable warnings that
                              occurred during the translation phase of the build
                              ID specified by "-b".

  -show-files                 Displays all the source files built into the model
                              specified by "-b".

  -show-loc                   Displays lines of code processed for files built
                              into the model specified by "-b".

  -scan                       Causes sourceanalyzer.exe to run an analysis.

  (none)                      If no command option is present, a build step
                              is assumed.


Build Options
"Build" options translate source code into a Fortify analysis model.


  -b <build-id>               Specifies a unique name that identifies the
                              Fortify analysis model to be built. Also see
                              "-scan".

  -build-label <label>        Specifies an optional, arbitrary string value to
                              the Fortify analysis model. Will be included in
                              the output file.

  -build-project <project>    Specifies an optional, arbitrary string value to
                              the Fortify analysis model. Will be included in
                              the output file.

  -build-version <version>    Specifies an optional, arbitrary string value to
                              the Fortify analysis model. Will be included in
                              the output file.

  -encoding <encoding-name>   Specifies the source file encoding.
                              Default value is the platform default.

Compiler Integration Build Options
These options are used when integrating OpenText SAST (Fortify) with a compiler.

  <compiler> <compiler-opts>  Specifies the compiler command line. The file
                              being compiled will be added to the analysis
                              model, and the compiler will be invoked.

  touchless <build-tool>      Specifies a build tool command. The build tool
    [ <build-tool-options> ]  will be invoked, and any file being compiled
                              will be added to the analysis model.

  -nc                         When specified, the compiler is not invoked.


File Specification Build Options
These options are used to pass source files directly to OpenText SAST (Fortify).

  <file-specifier>            Expression denoting a file or a group of files,
                              optionally matching a pattern:
                              file1.java - a file
                              file*.java - files matching expression
                              "path/**/*.java" - recursive expression matches.
                              Note: Always escape ** expressions in quotes.

  -exclude <file-specifier>   Excludes any files matched by <file-specifier>
                              from the set of files to translate


Java-specific Build Options
These options should be used in conjunction with file specification options.

  -classpath <classpath>      Uses the specified classpath value for Java
  -cp <classpath>             builds.

  -extdirs                    Accepts a colon or semicolon separated list
                              of directories.  Any jar files found in
                              these directories are included on the
                              classpath. Equivalent to the -extdirs option
                              to javac.

  -sourcepath                 Specifies the location of source files which will
                              not be included in the scan but will be used for
                              name resolution. Equivalent to the -sourcepath
                              option to javac.
                              The sourcepath is like classpath, except it uses
                              source files rather than class files for
                              resolution.

  -source <value>             Indicates which version of the Java language the Java
  -jdk <value>                code adheres to.  Valid values are 1.8, 8, 11, 17, 21.
                              Default is "11".

  -java-build-dir <dir>       Used to specify one or more directories to which
                              Java sources are being compiled. May also be
                              specified at scan time.

Other Language-Specific Build Options

  -source-base-dir <root>     The base directory for a ColdFusion application.

  -python-path                Add an import directory for a Python application.

  -apex                       Set ".cls" file extension to Apex language.
                              (detected based on file content by default). Equivalent to
                              -Dcom.fortify.sca.fileextensions.cls=APEX

  -apex-sobject-path          Add file to load SObject types in Apex application.

Scan Options

  -b <build-id>               Specifies the build ID.  The build ID is used
                              to track which files are compiled and linked
                              as part of a build, to later scan those files.
                              This option may be specified more than once to
                              include multiple build IDs in the same scan.

  -bin <binary>               All source files compiled and linked into the
                              specified binary are scanned.  Multiple binaries
                              may be specified.

  -disable-default-rule-type  See the user guide.

  -f <file>                   The file to which analysis results are written.
                              Default is stdout.

  -filter <file>              Specifies a filter file.  For more information,
                              see the user guide.

  -scan-policy <policy>       Specifies a scan policy for vulnerability prioritization.
                              Valid values are classic, security, devops. Default is security.
                              For more information, see the user guide.

  -java-build-dir <dir>       Used to specify one or more directories to which
                              Java sources have been compiled.  May also be
                              specified at build time.

  -no-default-issue-rules     See the user guide.
  -no-default-sink-rules      See the user guide.
  -no-default-source-rules    See the user guide.

  -no-default-rules           Indicates that OpenText SAST (Fortify) should not use its
                              default rules.  Must be used in conjunction with
                              "-rules"

  -rules <specifier>          Specifies custom rules file or directory.  If a
                              directory is specified, all files ending in ".bin"
                              or ".xml" are included.
                              This option may be used multiple times.

  -quick                      Runs a quick scan. Quick scans complete faster at
                              the cost of reduced accuracy.

  -scan-precision <level>     Configures the depth, precision and speed of the scan
  -p <level>                  with configuration properties specific for the level.
                              The valid values are 1, 2, 3, and 4.

  -quiet                      Disables the command line progress bar.

  -scan                       Causes OpenText SAST (Fortify) to perform analysis against a
                              model.  The model must be specified with "-b".


Build Sessions

  -export-build-session <file.mbs>

                              Store the translated model specified by -b to the
                              specified file.

  -import-build-session <file.mbs>

                              Load the specified file into a build model.  If
                              the build ID of the model already exists in the
                              model registry, the import fails with the message
                              that a build already exists with that ID.


License Directives

  -store-license-pool-credentials "<lim_url>|<lim_pool_name>|<lim_pool_pwd>|<proxy_url>|<proxy_user>|<proxy_pwd>"

                              Stores your LIM license pool credentials to
                              allow OpenText SAST (Fortify) to use the
                              LIM for licensing. Proxy information is optional.

  -clear-license-pool-credentials

                              Removes the LIM license pool credentials from
                              the fortify-sca.properties file.

  -request-detached-lease <duration>

                              Requests a detached lease from the LIM license
                              pool for exclusive use on this system for the
                              specified duration (in minutes).

  -release-detached-lease

                              Releases a detached lease back to the license
                              pool.


EXAMPLES


Build examples:
  Generic (Java, configuration, PHP, JavaScript, ASP/VBScript, VB6):
     sourceanalyzer.exe -b mybuild .
     sourceanalyzer.exe -b mybuild file1.java file2.java
     sourceanalyzer.exe -b mybuild *.bas *.cls *.frm
     sourceanalyzer.exe -b mybuild "site/**/*.php"

  ColdFusion translation:
     sourceanalyzer.exe -b mybuild -source-base-dir /www/app "/www/app/**/*.cfm"

  SQL translation:
     sourceanalyzer.exe -b mybuild -Dcom.fortify.sca.fileextensions.sql=PLSQL *.sql
     sourceanalyzer.exe -b mybuild -Dcom.fortify.sca.fileextensions.sql=TSQL *.sql

  C/C++ builds:
     sourceanalyzer.exe -b mybuild gcc -c test.c
     sourceanalyzer.exe -b mybuild CL.EXE /o HelloWorld HelloWorld.c
     sourceanalyzer.exe -b mybuild make
     sourceanalyzer.exe -b mybuild devenv myproject.msproj /REBUILD

  Objective-C/C++ builds:
     sourceanalyzer.exe -b mybuild clang -ObjC HelloWorld.m
     sourceanalyzer.exe -b mybuild xcodebuild -project myproject.xcodeproj

  .NET builds:
     sourceanalyzer.exe -b mybuild devenv myproj.sln /REBUILD
     sourceanalyzer.exe -b mybuild msbuild /t:rebuild myproj.csproj

  Java specific builds:
     sourceanalyzer.exe -b mybuild -cp lib/dependency.jar "src/**/*.java"
     sourceanalyzer.exe -b mybuild -cp mytaglibs.jar webapp/*.jsp
     sourceanalyzer.exe -b mybuild touchless ant

  J2EE specific builds:
     sourceanalyzer.exe -b mybuild -cp "app/WEB-INF/lib/*.jar" app/*.jsp

Scan step:
     sourceanalyzer.exe -b mybuild -scan -f results.fpr


See OpenText(TM) Static Application Security Testing (Fortify) User Guide for a complete explanation of each option.


You can open a support case for Fortify products online using
our customer support system. This streamlined procedure is designed to
provide easier access and improved customer satisfaction.

Access your account at https://softwaresupport.softwaregrp.com/.

這代表即使給了 32G 記憶體，ANTLR 在解析 PHP 語法時仍陷入了死迴圈或極度消耗記憶體的狀態（問題依然卡在 PHPParser.hereDocPart / PHPLexerBase）。

通常這有兩個主因：

1. Windows 通配符問題：-exclude "/vendor/" 在 CMD/PowerShell 根本沒有生效，Fortify 依然把 vendor 進去了。
2. 存在「超大檔」或「極長 Heredoc 檔」：例如大型 SQL dump、Base64 圖片檔、自動生成的測試資料或超大樣板檔，導致 ANTLR Parser 記憶體暴增。

請依序透過以下方法徹底解決：

1. 修正 Windows 的 -exclude 語法（最常踩坑）

在 Windows 命令列，-exclude必須使用雙引號，且建議使用 ** (Ant 語法) 與 Windows 反斜線，否則過濾會無效：

DOS

sourceanalyzer -b portal_project -clean

sourceanalyzer -b portal_project -Xmx32G -exclude "**/vendor/**" -exclude "**/node_modules/**" -exclude "**/*.min.js" backend/

2. 開啟弱點檔大小限制 (Limit File Size)

這是解決 hereDoc 爆記憶體最有效的武器。直接限制 Fortify 跳過單檔超過指定大小的檔案（例如 1MB 或 2MB）：

做法 A：命令列加上 -D 參數

DOS

sourceanalyzer -b portal_project -Xmx32G -Dcom.fortify.sca.limit.file.size=2048 -exclude "**/vendor/**" backend/

( 2048 代表超過 2MB 的原始碼檔案就跳過不安裝/解析，可有效避免吃到包含巨大字串或 Heredoc 的 PHP 檔案)

做法 B：修改 fortify-sca.properties

在 C:\Users\<你的帳號>\.fortify\fortify-sca.properties 或 Fortify 安裝目錄下的 Core\config\fortify-sca.properties 加入：

Properties

com.fortify.sca.limit.file.size=2048

3. 找出到底是哪個「元凶檔案」卡住，單獨排除它

如果是業務邏輯資料夾內有一個幾十 MB 的 PHP 檔案（例如包含超大字串陣列或字典）：

請加上 -debug 或 -verbose 參數重新執行一次，並觀察 log 印到哪一個 .php 檔案時卡死：

DOS

sourceanalyzer -b portal_project -Xmx32G -verbose backend/ > scan_log.txt

打開 scan_log.txt 翻到最底端，查看崩潰前最後進行解析（Parsing/Lexing）的是哪一個 .php 檔案，接著直接將該檔案加入排除：

DOS

sourceanalyzer -b portal_project -Xmx32G -exclude "**/ProblematicFile.php" backend/

4. （終極方案）調整 ANTLR / PHP 語法分析設定

如果特定 PHP 檔案無法排除，但包含極長的 Heredoc，可以在 fortify-sca.properties 加入以下參數，限制語法樹深度或停用部分 ANTLR 耗效能的檢查：

# 限制 Fortify 對單一檔案最大解析時間（單位：秒，預設無限制，可設為 300 秒）
com.fortify.sca.PhaseTimeout=300

# 關閉部分過度深度的 AST 解析
com.fortify.sca.DisablePHP2MethodCallDataflow=true

建議嘗試步驟：

1. 先執行 sourceanalyzer -b portal_project -clean 清除快取。
2. 加上限制檔案大小參數 -Dcom.fortify.sca.limit.file.size=2048 並修正過濾語法 -exclude "**/vendor/**" 重新執行。

從你提供的完整 log 可以精準定位出問題的根源所在：

Log 在處理到 SendForgotPasswordTotpApi.php（或緊隨其後的下一個 PHP 檔）時，Fortify 的 PHP 語法解析器 (PHPFrontEnd) 因為遇到極長或結構極度複雜的 Heredoc / String，導致 ANTLR 語法分析器陷入計算迴圈並爆記憶體崩潰，進而拋出 NullPointerException。

請採用以下 4 步驟解決方案 來繞過這個解析器的死區：

步驟 1：強制限制單檔大小 (File Size Limit)

這是最快且最有效的方法。加載此參數能直接讓 Fortify 跳過過大或包含巨大字串 (Heredoc/Blob) 的單一原始碼檔案，避免 ANTLR 解析器卡死。

在 command 加入 -Dcom.fortify.sca.limit.file.size=2048（單位為 KB，即 2MB）：

DOS

sourceanalyzer -b portal_backend -clean

sourceanalyzer -b portal_backend -Xmx32G -Dcom.fortify.sca.limit.file.size=2048 backend/

步驟 2：明確排除 TestTools 或測試/資料庫備份檔案

從 Log 中可以看到你的 backend/ 下包含了 TestTools 與 db/migrations。通常測試工具與 Migration 檔中會含有大量假資料、巨型 SQL 字串或 Heredoc 模板。

請使用 Windows 專用 Ant 通配符 將它們排除：

DOS

sourceanalyzer -b portal_backend -clean

sourceanalyzer -b portal_backend -Xmx32G -Dcom.fortify.sca.limit.file.size=2048 -exclude "**/TestTools/**" -exclude "**/db/**" -exclude "**/vendor/**" backend/

步驟 3：定位「致命檔案」並直接單獨排除

如果前兩步執行後依然在 SendForgotPasswordTotpApi.php 附近崩潰，代表問題出在業務邏輯程式碼本身的某個特定檔案。

1. 打開 SendForgotPasswordTotpApi.php 以及與它在同一目錄下的前後檔案。
2. 檢查程式碼中是否有使用 <<<EOD “/SendForgotPasswordTotpApi.php” “/TestTools/” “/db/” “/vendor/” # ### (2048 (5分鐘)，防止 Heredoc — -Dcom.fortify.sca.limit.file.size=”2048″ -Xmx32G -b -clean -exclude -f -scan / 2MB 3. 300 4：寫入 ANTLR Fortify HTML KB) Nowdoc PHP Phase Timeout，讓 -exclude <<<HTML C:\Users\max\.fortify\fortify-sca.properties cmd “`properties fortify-sca.properties backend/ com.fortify.sca.PhaseTimeout=”300″ com.fortify.sca.limit.file.size=”2048″ portal_backend portal_backend_result.fpr sourceanalyzer 之類的 在檔案末端寫入以下設定： 完成上述設定後，執行以下完整的標準清洗與翻譯流程： 將它單獨排除： 建議的標準執行指令 或 找到該檔案後，直接使用 檔案也發生 步驟 無限迴圈 秒 若要避免以後其他 解析單一檔案逾時自動跳過，而不是直接崩潰： 設定全域超時（終極防護） 設定單一階段解析超時為 語法，且裡面放了極長的 語法卡死，直接開啟 請開啟以下檔案（若沒有請自行建立）： 資料或密碼學金鑰/雜湊值。 郵件模板、JSON 限制單一檔案解析上限>

這個檔案 (SendForgotPasswordTotpApi.php) 正是導致 Fortify ANTLR 語法分析器崩潰爆記憶體的元凶。

為什麼是這個檔案？

1. 使用了巨大的 Heredoc ($htmlBody = <<<EOD ### #### $htmlBody="str_replace('{$totpCode}'," $htmlTemplate="file_get_contents($templatePath);" $htmlTemplate); $templatePath="__DIR__" $totpCode, '/../../templates/emails/forgot_password_totp.html'; (Inline) (圖案樣式)、HTML **ANTLR **修改後的 --- . ... / // 2. 25.2 <<<EOD A：重構此 Base64 CSS、內嵌 Data EOD; EOD;)： Fortify GC HTML Heredoc PHP SVG URI $htmlBody$textBody.blade.php.htmlHeredocPHPLexerBasePHPParser.hereDocPart\、雙引號、SVG php java.lang.OutOfMemoryError: exceeded。 limit overhead 使用的 使用簡單的字串替換填入動態變數 在處理包含複雜字元（如反斜線 字串。 將 將原本巨大的 抽離至獨立的 方案 時，內部的詞法狀態轉換會陷入計算遞迴，進而導致 替換為讀取外部模板檔案： 標籤的巨型 模板抽離，這同時也能讓你的程式碼結構更乾淨。 模板檔案中，改用檔案讀取方式載入： 檔案（最推薦，一勞永逸） 的 的內聯 程式碼： 與 解析器缺陷： 解決方案：重構此檔案（推薦）或針對性排除 語法）的長 這個檔案裡包含了一整段包含 這有兩種解決方式，最根本的方法是重構程式碼，將> 優勢：抽離後 Fortify 解析這個 .php 時就不會觸發 Heredoc 的 ANTLR 解析 Bug，掃描能順利通過，且不會遺漏該 API 的安全弱點分析！

方案 B：單獨排除此檔案（最快）

如果你目前不想改動原始碼，可以在執行命令時，直接將該檔案單獨排除掉：

sourceanalyzer -b portal_backend -clean

sourceanalyzer -b portal_backend -Xmx16G -Dcom.fortify.sca.limit.file.size=2048 -exclude "**/SendForgotPasswordTotpApi.php" -exclude "**/TestTools/**" -exclude "**/db/**" -exclude "**/vendor/**" backend/

方案 C：將檔案大小限制調低

因為這個 .php 檔案因為包含巨型 HTML，檔案大小可能較大。你可以嘗試將檔案限制從 2048 (2MB) 調小到 100 (100KB)：

sourceanalyzer -b portal_backend -clean

sourceanalyzer -b portal_backend -Xmx16G -Dcom.fortify.sca.limit.file.size=100 -exclude "**/vendor/**" backend/

(這樣 Fortify 會自動跳過此類包含巨型模板的過大 PHP 檔)

想在 Ubuntu 系統裡當個有實權的大老，或是想把不安份的帳號給踢出去嗎？這篇教學帶你輕鬆掌握管理者權限的召喚與封印術！

一、 尋找幕後黑手：查看誰有最高權限

想知道系統裡面到底有誰偷偷開了外掛、擁有 sudo 權限嗎？直接輸入下面這行指令，就能讓所有管理員現形：

getent group sudo | cut -d: -f4

覺得還不夠清楚嗎？這裡還有兩招進階招術：

把系統的最高神明 root 一併召喚出來：

echo "root"; getent group sudo | cut -d: -f4 | tr ',' '\n'

連他們的登入 Shell 一起抓出來看個仔細：

grep -E "$(getent group sudo | cut -d: -f4 | tr ',' '|')" /etc/passwd

小知識補充： Ubuntu 預設是用 sudo 群組來發放管理者權限，而不是單獨叫 admin 群組！

二、 召喚新夥伴：新增帳號並給予管理權限

想給好朋友開個權限嗎？標準流程是先建帳號，再把他拉進 sudo 俱樂部：

sudo adduser username
sudo usermod -aG sudo username

別忘了把 username 換成你朋友的帳號名稱！

如果你趕時間，想要一鍵搞定，可以使用這套組合拳：

sudo useradd -m -s /bin/bash -G sudo username
sudo passwd username

驗證身分：

想確認他有沒有成功拿到權限，可以執行這行命令檢查：

groups username

只要看到輸出裡面出現 sudo 這幾個字，就代表他已經順利晉升為管理員啦！

三、 提防豬隊友：刪除使用者帳號

當某些帳號不再需要，或是對方惹你生氣時，你可以根據想留下的東西選一種方式處理：

1. 純粹把人踢掉（保留他的家目錄與檔案）：

sudo deluser username

或者使用 sudo userdel username 。

2. 連同他的家目錄與郵件資料一併蒸發（乾淨俐落）：

sudo deluser --remove-home username

或者使用 sudo userdel -r username 。

3. 地毯式搜捕（刪除他在整個系統留下的所有檔案）：

sudo deluser --remove-all-files username

動手前請注意：

刪除前請先確定 username 已經替換成目標帳號。

如果對方還在線上頑強抵抗，請先強制幫他登出：

sudo killall -u username

如果只是想拔掉他的權限，讓他變回普通百姓，不需要直接刪帳號，輸入這行命令即可：

sudo deluser username sudo

資安規範與稽核標準建議將 「密碼最長使用期限」 設定為 90 天（約 3 個月換一次密碼）。

在《行政院資通安全防護基準》及 ISO 27001 實務中，一般機關系統的密碼更換週期標準為 90 天～180 天（也就是 3 到 6 個月）。目前你的系統設定是 120 天（約 4 個月），雖然也符合規範，但修改為 90 天 是各大稽核單位最喜愛的標準黃金值。

如何在 PowerShell (管理員) 修改？

請開啟 PowerShell (以系統管理員身分執行)，執行以下指令：

1. 設定為 90 天（推薦）：

PowerShell

net accounts /MAXPWAGE:90

2. 驗證修改結果：

執行以下指令確認是否生效：

PowerShell

net accounts

觀察輸出中的這行：

密碼最長使用期限 (天): 90

補充說明（完整密碼原則組合建議）

修改完成後，你的 Windows Server 2019 密碼原則組合將會非常完美且完全符合資安稽核：

這是因為繁體中文版 Windows 的 net accounts 指令參數名稱是 /UNIQUEPW:3（英文版才是 /UNIQUEPW 或 /UNIQUENESS）。

請在 PowerShell (系統管理員) 中直接執行以下這行指令：

net accounts /UNIQUEPW:3

執行後驗證

執行完畢後，再次輸入：

net accounts

確認結果顯示為：

密碼維護的歷程記錄長度： 3

這樣就順利修改完成，可以直接在表單的「密碼變更時，至少不可以與前3次使用過之密碼相同」勾選 「是」 了！

如何在 Windows Server 設定與確認？

如果你需要確保系統確實設定為「不能與前 3 次相同」，請依照以下步驟調整：

1.開啟本機資安原則：

按下 Win + R 開啟「執行」視窗，輸入 secpol.msc 並按下 Enter。

2.找到密碼歷史紀錄設定：

在左側選單點擊：帳戶原則（Account Policies） ➔ 密碼原則（Password Policy）。

3.修改強制保留密碼歷史記錄：

雙擊右側的 「強制保留密碼歷史記錄」（Enforce password history），將數值改為 3（或更大，例如標準常設為 3 或 5），點擊 確定。

4.強制更新資安原則：

開啟 PowerShell（管理員身分），輸入 gpupdate /force 讓設定立即生效。

說明, 使用 net accounts 看到, 修改前是最少10碼, 修改之後最少 13碼。

要在 Windows Server 2019 設定密碼長度至少 13 個字元，你需要修改群組原則中的「密碼最短長度」。

依照以下步驟調整即可：

方法一：使用圖形介面 (GUI) 修改

1.開啟本機資安原則：

按下快捷鍵 Win + R 開起「執行」視窗，輸入 secpol.msc 並按下 Enter。

2.找到密碼原則：

在左側選單依序展開：

機關資安設定（或 安全性設定） ➔ 帳戶原則（Account Policies） ➔ 密碼原則（Password Policy）。

3.修改密碼最短長度：

在右側視窗點擊兩下開啟 「密碼最短長度」（Minimum password length）。

將原本的 10 改為 13（或更多字元），然後點擊 確定。

4.強制更新原則：

開啟 PowerShell 或 CMD（管理員權限），輸入 gpupdate /force 讓新原則立即生效。

方法二：使用 PowerShell 快速修改

如果你習慣用 command line 操作，可以開啟 PowerShell (以系統管理員身分執行)，複製並執行以下指令：

# 1. 將目前的安全性原則匯出至暫存檔
secedit /export /cfg C:\secpol.cfg

# 2. 將密碼最短長度從原本的數值改為 13
(Get-Content C:\secpol.cfg) -replace 'MinimumPasswordLength = \d+', 'MinimumPasswordLength = 13' | Set-Content C:\secpol.cfg

# 3. 重新套用設定檔
secedit /configure /db $env:windir\security\local.sdb /cfg C:\secpol.cfg /areas SECURITYPOLICY

# 4. 清除暫存檔
Remove-Item C:\secpol.cfg

驗證是否修改成功

執行以下 PowerShell 指令確認設定是否成功生效：

net accounts

觀察輸出結果中的 「密碼最短長度」 (Minimum password length) 是否已經變更為 13。

補充說明（AD 網域環境）：

如果你的 Windows Server 有加入 Active Directory (AD) 網域，且密碼原則是由網域控制站 (DC) 統一管理的，請前往網域控制站開啟 gpmc.msc (群組原則管理)，並在 Default Domain Policy 中修改相同的項目。

PHP Warning: PHP Startup: Unable to load dynamic library 'php_xmlrpc.dll' (tried: C:\Program Files\PHP\v8.3\ext\php_xmlrpc.dll (找不到指定的模組。), C:\Program Files\PHP\v8.3\ext\php_php_xmlrpc.dll.dll (找不到指定的模組。)) in Unknown on line 0

原因分析

此錯誤通常源自以下兩個主要原因：

1. 擴充套件（Extension）命名規則變更在舊版 PHP（PHP 7.x 及更早版本）中，設定檔常寫為 extension=php_gd2.dll 或帶有 php_ 前綴。從 PHP 8.0 開始，官方簡化了指定方式，只需填寫擴充套件簡稱（例如 extension=gd）。若仍使用舊式檔名，PHP 在自動補充路徑時會產生如 php_php_...dll.dll 的重複路徑而找不到檔案。
2. 部分舊版擴充套件已被移除（以 XMLRPC 為例）xmlrpc 擴充套件已於 PHP 8.0 起從核心移除並移至 PECL。因此 PHP 8.3 預設的 ext/ 目錄下已不再提供 php_xmlrpc.dll。

解決步驟

步驟 1：開啟 php.ini 設定檔

找到目前 PHP 8.3 環境所使用的 php.ini 檔案（例如：C:\Program Files\PHP\v8.3\php.ini）。

步驟 2：修正或停用問題擴充套件

以系統管理員權限開啟 php.ini：

若為舊版命名格式問題（如 GD 繪圖庫）：搜尋 gd，將舊式的設定修正為新版標準格式：

舊寫法：

extension=php_gd2.dll

請改為：

extension=gd

若為已移出核心的擴充套件（如 XMLRPC）：

搜尋 xmlrpc，若無特殊需要，直接在行首加上分號 ; 將其註解停用：

;extension=php_xmlrpc.dll 
;extension=xmlrpc

步驟 3：確認擴充套件目錄 (extension_dir)

確認 php.ini 中的 extension_dir 指令已正確啟用並指向正確路徑：

extension_dir = "ext"

(或使用絕對路徑：extension_dir = "C:\Program Files\PHP\v8.3\ext")

步骤 4：重啟 Web 伺服器 / PHP 服務

儲存 php.ini 後，重啟 Apache、Nginx、IIS 或重開 PHP CLI 環境，以使新的設定生效。

The PHP startup warnings require  php.ini  cleanup:

date.timezone = Asia/Taipei
extension=gd

Remove duplicate entries for  curl ,  mysqli ,  mbstring ,  openssl ,  ldap , and  pdo_mysql .

Also remove or install matching extensions:

•  xmlrpc : unavailable in standard PHP 8.3; comment it out unless separately installed.
•  pdo_sqlsrv_82_nts_x64 : replace with the PHP 8.3 NTS x64 driver, or remove it if unused.

Do not suppress these with  error_reporting(0) ; correcting  php.ini  will eliminate the startup log noise

別擔心，我們在 PowerShell 裡手動強制開啟 TLS 1.2 ，就可以輕鬆搞定。

絕招一：強制開啟 TLS 1.2 下載法

請複製以下這段程式碼，整段直接貼進你的 PowerShell 視窗裡面執行：

PowerShell

# 1. 強制讓 PowerShell 使用 TLS 1.2 加密協定
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

# 2. 重新嘗試下載安裝檔
Invoke-WebRequest -Uri "https://github.com/microsoft/go-sqlcmd/releases/latest/download/sqlcmd-windows-amd64.msi" -OutFile "$env:USERPROFILE\Downloads\sqlcmd.msi"

# 3. 執行安裝
Start-Process msiexec.exe -ArgumentList "/i `"$env:USERPROFILE\Downloads\sqlcmd.msi`"" -Wait

執行之後，畫面上應該會彈出上面的截圖。

絕招二：繞過 IE 增強式安全性封鎖

如果用了第一招還是失敗，甚至跳出討人厭的 Internet Explorer 紅色警告，那就代表你抓到幕後黑手了！這是 Windows Server 惡名昭彰的「 IE 增強式安全性設定（ IE ESC ）」在作怪。

因為 PowerShell 在下載檔案的時候，背後會偷偷調用 Internet Explorer 的核心元件，而 Server 的安全機制預設會把外面所有的網站（ 包括 GitHub ）通通鎖死，當成大魔王在防防禦。

既然系統的安全性指令一直擋路，我們就改用「 全指令、不調用 IE 網頁核心 」的方法來下載，直接繞過這個煩人的限制。

請在 PowerShell 中執行這段全新的指令：

PowerShell

# 1. 強制開啟 TLS 1.2
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

# 2. 使用微軟官方下載中心（保證存在的 x64 穩定版網址）
$webClient = New-Object System.Net.WebClient
$url = "https://go.microsoft.com/fwlink/?linkid=2142258"
$output = "$env:USERPROFILE\Downloads\MsSqlCmdLnUtils.msi"
$webClient.DownloadFile($url, $output)

# 3. 執行安裝
Start-Process msiexec.exe -ArgumentList "/i `"$output`"" -Wait

這次執行完之後，畫面就不會再跳出那些紅色的警告。它會非常低調、靜悄悄地下載完成，接著直接彈出 sqlcmd 的安裝視窗。你同樣只要動動手指，跟著點下一步完成安裝即可。

最後再次提醒，安裝完畢後，一樣要關掉並重新打開一個新的 PowerShell 或 cmd 視窗，系統的環境變數才會生效。

大家在網站或手機 App 登入帳號時，有沒有想過，你的密碼和資料是怎麼在網路世界裡安全傳遞的？今天我們要來聊聊一個保護你我隱私的幕後功臣，它的名字叫 PKCE。

PKCE 全名是 Proof Key for Code Exchange，大家通常把它讀作 Pixie（就是小精靈的那個英文發音）。它是 OAuth 2.0 這個登入標準機制的安全擴充功能。簡單來說，它就像是幫你的行動 App 或單頁式網頁應用程式（SPA）請了一位動態保鏢，專門防止壞人中途攔截你的登入憑證。

PKCE 是如何運作的？

傳統的登入方式需要一組固定的秘密鑰匙（Client Secret），但如果把這把鑰匙藏在手機 App 或前端網頁裡，很容易就被厲害的駭客挖出來。 PKCE 的聰明之處，就在於它每次登入都用「臨時隨機抽樣」的方式，流程主要分為四個步驟：

1. 產生驗證碼： 你的手機 App 或網頁會在本地端隨機亂數產生一組高密度的字串，這組密碼學字串叫做 code_verifier。
2. 生成挑戰碼： 接下來，系統會把這組字串拿去進行雜湊運算（通常是 SHA-256 演算法），再經過編碼轉換成另一組字串，叫做 code_challenge。
3. 發送請求： 你的 App 會把這組挑戰碼和運算方法，一起送到官方的授權伺服器，大喊一聲「我要登入！」
4. 驗證與核發： 當 App 拿到授權碼，準備跟伺服器換取真正能通行的 Token 時，必須交出第一步產生的原始驗證碼。伺服器會在後端用同樣的方法算一次，確認跟當初的挑戰碼一模一樣，才會點頭放行。

為什麼我們需要 PKCE ？

如果沒有 PKCE 的保護，當授權碼在網路跳轉回傳的途中，很容易被惡意軟體或中間人側錄攔截。駭客只要偷到這個授權碼，就能假冒你的身份去跟伺服器換取存取權限。

網頁後端伺服器因為躲在暗處，可以安全地藏好秘密鑰匙，但手機 App 是公開在外的客戶端，根本沒辦法安全地藏東西。 PKCE 透過每一次登入時「動態出題、動態對答案」的機制，確保發起請求和最後拿 Token 的是同一個合法的 App。這樣一來，壞人就算在半路偷到授權碼，沒有原始的驗證碼也只能乾瞪眼，完全無法盜用！

工程師的私房補丁日誌： AppScan 安全漏洞大作戰

看完了上面的小精靈防護機制，順便來瞧瞧我們這次為了應付 AppScan 安全檢查，在後端默默做了哪些升級。這絕對不是在敷衍檢查，這是為了愛與和平。

核心變更項目

關於 PKCE 漏洞修補，我們擴充了 OAuthProvider 介面，新增了 Supports PKCE() bool 與 Exchange(…oauth2.AuthCodeOption) 功能。現在 Entra ID 會乖乖回傳 true ，而交大 NYCU 則會回傳 false 。登入處理器會自動產生一組驗證碼並發送 S256 挑戰碼，回呼處理器則會負責把驗證碼傳給 Exchange 進行核對。

關於 Cookie 檔安全，我們在前一次的提交中，就已經把驗證 Cookie 檔通通綁上 SameSite=Strict 機制了。

關於 API 安全標頭，我們加入了 AddAPISecurityHeaders 中介軟體，強制執行以下防禦：

• Cross-Origin-Resource-Policy 設為 same-origin
• Strict-Transport-Security 設為 max-age=31536000; includeSubDomains
• Cache-Control 設為 no-store 搭配 Pragma 設為 no-cache
• Referrer-Policy 設為 strict-origin-when-cross-origin

AppScan 漏洞修補成績單

以下是這次的戰果，我們把所有紅字都變成綠色的勾勾了。

• OAuth Implicit Grant 缺 PKCE 漏洞： 中級風險，修復狀態為已完成。
• Cookie 的 SameSite 設定不當： 中級風險，修復狀態為已完成。
• API 缺少 CORP 標頭： 中級風險，修復狀態為已完成。
• 可快取的 SSL 網頁： 低級風險，修復狀態為已完成，透過 Cache-Control 防禦。
• 缺少 Referrer-Policy 標頭： 低級風險，修復狀態為已完成。
• 缺少 HSTS 標頭： 低級風險，修復狀態為已完成。

Addresses AppScan security findings for the backend.

Changes

• PKCE (OAuth Implicit Grant flaw): OAuthProvider interface extended with SupportsPKCE() bool and Exchange(…oauth2.AuthCodeOption). Entra ID returns rue; NYCU returns alse. Login handler generates a verifier and sends S256 challenge; Callback handler passes verifier to Exchange.
• SameSite=Strict: Auth cookies already fixed in previous commit (SameSiteStrictMode).
• API Security Headers (AddAPISecurityHeaders middleware):
  • Cross-Origin-Resource-Policy: same-origin
  • Strict-Transport-Security: max-age=31536000; includeSubDomains
  • Cache-Control: no-store + Pragma: no-cache
  • Referrer-Policy: strict-origin-when-cross-origin

AppScan Findings Addressed

Finding	Severity	Status
OAuth Implicit Grant (missing PKCE)	M	Fixed
Cookie SameSite improper	M	Fixed
CORP header missing on API	M	Fixed
Cacheable SSL pages	L	Fixed (Cache-Control: no-store)
Missing Referrer-Policy	L	Fixed
Missing HSTS	L	Fixed