Veracode报告怎么导出，导出的报告里字段有缺失又该怎么处理，这先要把报告类型分清楚。Veracode里常见的报告不止一种，有应用扫描结果报告、Analytics数据导出、SCA组件结果、EASM报告，也可以通过API拿到XML或PDF格式的详细结果。不同入口导出的字段范围不一样，所以看到字段缺失，不能马上就说是平台有问题，得先看导出的是哪一类报告。Veracode文档里也讲了，Analytics数据导出一般从Analytics或Data Exports入口生成，下载格式是CSV；应用结果页上可以查看并下载Veracode、PCI等报告。
一、Veracode报告怎么导出
Veracode报告导出要看你用在什么场景。如果只是给项目组看扫描结论，导出应用级报告就行；要是做月度统计、缺陷汇总或者数据的二次处理，那就更适合用CSV、XML或Analytics导出。
1、从应用结果页导出报告
进入【Results】或者具体应用的扫描结果页面，选好对应的扫描结果再下载报告，这办法适合看单个应用、单次构建或者某个扫描周期的安全结果，报告里一般会有缺陷等级、CWE、位置、修复建议、策略状态这些东西。要注意的是，界面上的报告更偏向阅读和审查，不一定适合直接拿来做大批量的数据透视。
2、从Analytics导出数据
通过【Analytics】再到【Reports】再到【Data Exports】生成数据导出，然后下载CSV文件。Analytics数据导出更适合安全团队做汇总，比如按应用、团队、严重等级、策略状态、扫描类型来统计问题。
Veracode Analytics支持下载仪表板或可视化的数据，文档里也提到开放仪表板可以导出CSV、XLS、PNG、JSON、HTML、MD这些格式，不过Analytics数据不是实时的，会按固定周期刷新。
3、用API导出详细结果
如果报告要接入内部平台，可以使用Veracode API，Detailed Report API可以返回指定build的详细XML结果，Detailed Report PDF API能下载指定build的PDF详细报告。API这种方式更适合自动化场景，比如把缺陷同步到缺陷管理系统，或者定期生成项目安全看板。但接口导出的字段要和API文档对得上，不能拿界面上的字段去要求API也完全一致。
二、Veracode报告字段缺失怎么处理
碰到字段缺失的时候，先不要直接重新扫描。很多时候不是扫描没做完，而是导出入口、权限、筛选条件或者扫描类型不一样，才导致字段没有出现在当前这份报告里。
1、先确认报告类型有没有选对
对照【报告入口】、【扫描类型】和【导出格式】，先看看当前这份报告是不是本来就应该包含你要的那些字段。
比如说SCA报告更关心组件、版本、许可证和漏洞信息，静态扫描报告更关心代码缺陷、CWE、严重等级和位置，Analytics导出又偏重统计分析，字段如果不属于这类报告的范围，它就不会出现在文件里。
2、检查筛选条件和数据刷新
如果用的是Analytics，看不到某些字段或者数据，可能和筛选条件、团队权限、数据刷新有关。Veracode文档里也说了，Analytics不用实时数据，而且用户只能看到自己有权限的那些应用的数据。比方说刚完成扫描，应用结果页上已经有新数据了，但Analytics里还没刷出来，这种情况不用马上就觉得是报告出了问题，可以等它刷新了再导出，或者先从应用结果页去核对最新的结果。
3、检查账号权限够不够
有些导出入口需要特定的角色，Veracode文档里提到，数据导出需要Security Lead或Administrator角色，Analytics的访问也跟用户角色、团队成员关系有关。要是同事能看到某个字段，自己却看不到，那先检查角色和团队范围，权限不够的时候，报告可能不是完全不能下载，而是只能看到一部分应用或者一部分数据。
三、Veracode报告整理时怎么避免漏字段
报告字段缺失很多情况下是前期没有把导出方式统一起来造成的。项目里最好提前约定好报告类型、字段口径和保存方式，别让每个人临时从不同页面去下载。
1、固定报告模板和字段口径
围绕【应用名称】、【扫描时间】、【策略状态】、【缺陷ID】、【CWE】、【严重等级】、【修复状态】和【缓解状态】这些，建一个基础的字段清单。
不同报告的字段可以不完全一样，但核心字段要保持一致，这样后面做问题跟踪、复测关闭和安全审计的时候，才不会因为文件来源不同对不上号。
2、导出后做一次字段核对
每次导出报告之后，先看应用、版本、扫描时间、扫描类型对不对，再查关键字段有没有空着的。字段为空不一定是缺失，也可能是那个问题本来就没有对应的值，比如某些动态扫描的问题没有代码行号，某些组件问题没有源码位置。
3、自动化导出要记录接口版本
如果是通过API导出报告，要记下API类型、调用时间、build ID和保存路径。Veracode APIs还要求按账号所在的区域用对应的域名去访问。往后字段变了或者接口出了问题，才好排查是权限问题、接口问题，还是导出逻辑本身要调整。
总结
Veracode报告怎么导出，报告字段缺失怎么处理，关键是先把报告入口选对。单个应用的结果可以从结果页下载，统计分析适合走Analytics和Data Exports，自动化集成可以用API。碰到字段缺失，先查报告类型、筛选条件、权限范围和数据刷新，别一上来就重新扫描。项目里把字段口径定下来，导出后再核对一遍，报告后续才更容易用来做整改跟踪和审计留存。
