在Coverity Connect中，缺陷负责人属于Triage信息的一部分，可以针对单条问题手动指定，也可以结合组件或SCM提交历史自动分配。如果设置后仍显示Unassigned，或者换一个项目、流后又看到原负责人，往往不是简单的页面刷新问题。处理“Coverity怎么设置缺陷负责人，Coverity缺陷负责人分配后没有生效是什么原因”，需要先区分手动分配和自动分配，再检查Triage Store、权限和Stream级负责人规则。Coverity官方说明中，Owner字段可以直接填写或修改用户，同时自动负责人只会在满足相应规则时写入。

Coverity中的组件映射可以按照源码文件路径把同一代码库划分成多个组件，让缺陷按照模块、团队或代码区域进行归类。处理“Coverity怎么配置组件映射，Coverity组件映射后缺陷归属不正确如何调整”时，重点要检查组件规则、正则匹配顺序以及Stream实际关联的组件映射。规则能够匹配文件并不代表归属一定正确，多个规则同时命中时，优先级尤其重要。

Coverity对C/C++等编译型项目进行分析前，需要先获取真实编译过程中使用的源文件、宏定义、头文件路径和编译器参数，并把结果写入中间目录。如果只是执行了cov-build，但内部没有发生实际编译，或者编译器没有被正确识别，就可能出现构建成功、中间数据却几乎为空的情况。处理“Coverity怎么捕获编译过程，Coverity捕获编译后没有生成中间数据如何排查”时，应把编译器配置、实际构建命令和build-log.txt结合起来检查。

Coverity许可证并发怎么查看，还有许可证并发不足的时候要怎么排查，不能光看还能不能登录，或者扫描还能不能跑。Coverity在不同的部署和授权方式下，可能会受到许可证服务器、授权feature、团队成员数量、代码规模，或者扫描任务占用这些方面的限制。实际排查的时候，要先弄清楚碰上的情况，到底是浮动许可证被别人占满了，还是许可证路径、服务器连接、授权项目没有对上，才导致失败，这样才不会一开始就错怪到并发不够上面去。

Coverity分析快照的对比这件事，还有如果对比出来的结果差异太大，该怎么处理，在做版本质量复查的时候，是经常会碰到的。快照对比，它不是只去看缺陷的总数是多了还是少了，而是要先去看一看这两次分析，是不是都在同一个项目里面、用的是不是同一个流、环境是不是同一套、规则是不是同一套，才能去比的。只要扫描的范围有了变化、规则集有了变化，或者路径有了变化，那对比出来的差异就会被放大。所以做判断之前，要先把对比的口径给固定下来，然后再分开去看新冒出来的问题、还留在那里的问题，还有已经不见了的问题，这样得出来的结论，才更有把握一些。

Coverity组件映射的设置，以及映射之后责任人信息不准确时的处理，其关键并不在于一开始就去给每一个人分配缺陷，而是需要先把代码的目录结构、组件的边界、规则的匹配顺序，还有负责人之间的对应关系，这几样东西给理顺清楚。组件映射这件事，通常是按照文件的路径规则，把代码划分到不同的组件里面去，这样一来，后续的缺陷筛选、报表的统计，还有责任的分配，才会有基础。

Coverity缺陷状态怎么流转，Coverity缺陷状态和修复进度怎么同步，这类问题，是代码静态扫描被接入到研发流程以后，必须得理清楚的。Coverity把缺陷给找出来，这只是头一步，真正会拽住团队效率的，是后面怎么去分派、怎么去确认、怎么去修、怎么再扫一遍，还有怎么去关上。缺陷的那些状态，要是就只在工具自己的页面里头变来变去，那研发、测试、安全，还有项目管理，这几边的人看见的进度，就很容易凑不到一块儿去。一个比较稳当的搞法，是把扫描的状态、人手工判定的状态、修完的最后期限，还有外头工单上的状态，都给分开来管，然后再靠一套规矩，把它们给串起来。

Coverity构建捕获怎么配置，还有构建捕获不到编译命令的时候又该怎么办，做静态代码扫描时常会在这两步被卡住。Coverity分析C/C++、Java、C#这类编译型项目时，一般需要先把真实的构建过程捕获下来，这样工具才能知道源文件是怎么被编译的，用了哪些宏定义、头文件路径在哪里，以及编译时带了哪些参数。配置的时候，不能只把源码目录丢给工具，还得让它看到一次完整、干净、可复现的构建过程。

在Coverity里，分析流这个概念通常对应着一个具体的代码分支、一条版本线，或者某个固定的构建入口；所以一个项目底下往往可以挂上好几个不同的stream，比如main主干一个，release发布分支一个，feature特性分支再单独一个，分别用来接收和存放各自的扫描结果。要是对stream的管理不够上心，最容易碰到的问题就是缺陷被稀里糊涂地交到了错误的分支里，修复状态在几个地方看起来对不上，或者同一个CID在不同版本的stream之间根本没办法放在一起比对。Coverity Connect在stream收到新的缺陷数据时，会专门生成一份snapshot，后面所有关于结果的对比，也基本都是围绕着snapshot和stream的范围来展开的。

项目里面只要夹杂了第三方库、自动生成的代码、测试用的桩模块，还有那些为了兼容老版本而保留的历史目录，这些内容并不一定都要被Coverity扫进去。这时候我们就得弄明白两件事：Coverity里到底怎么去设置忽略目录的规则，以及当这些规则加好以后，如果发现忽略路径并没有生效，又该从哪些地方开始排查。这里的一个关键，是先分清当前所做的忽略到底发生在整个流程的哪一个阶段。比较常见的处理方式，可以是在代码被捕获之前就直接把它排除掉，也可以在分析环节启动之前再把它移除掉，还可以到Coverity Connect里去用组件映射的办法，把那些我们不打算花精力去管的问题归拢起来。按照Black Duck社区里一些资料的说法，coverity_config.xml里面的skip_file这个配置项，就能够用来排除那些既不想提交发射、也不打算让分析器去碰的文件和目录。