Coverity在做跨函数静态分析时，需要理解函数的返回值、参数修改、资源申请释放和数据传递关系。遇到第三方库没有源码、自研封装函数语义特殊，或者分析器没有正确理解某个接口时，就可以通过函数模型补充这些行为。Coverity怎么创建函数模型，Coverity函数模型配置错误会影响哪些分析结果，关键是让模型准确描述真实函数，而不是简单让某条告警消失。模型一旦写错，影响可能沿调用链传递到多个文件。Coverity官方也明确将自定义模型用于补充无源码函数和修正跨过程分析结果。

在Coverity Connect中，缺陷负责人属于Triage信息的一部分，可以针对单条问题手动指定，也可以结合组件或SCM提交历史自动分配。如果设置后仍显示Unassigned，或者换一个项目、流后又看到原负责人，往往不是简单的页面刷新问题。处理“Coverity怎么设置缺陷负责人，Coverity缺陷负责人分配后没有生效是什么原因”，需要先区分手动分配和自动分配，再检查Triage Store、权限和Stream级负责人规则。Coverity官方说明中，Owner字段可以直接填写或修改用户，同时自动负责人只会在满足相应规则时写入。

Coverity中的组件映射可以按照源码文件路径把同一代码库划分成多个组件，让缺陷按照模块、团队或代码区域进行归类。处理“Coverity怎么配置组件映射，Coverity组件映射后缺陷归属不正确如何调整”时，重点要检查组件规则、正则匹配顺序以及Stream实际关联的组件映射。规则能够匹配文件并不代表归属一定正确，多个规则同时命中时，优先级尤其重要。

Coverity对C/C++等编译型项目进行分析前，需要先获取真实编译过程中使用的源文件、宏定义、头文件路径和编译器参数，并把结果写入中间目录。如果只是执行了cov-build，但内部没有发生实际编译，或者编译器没有被正确识别，就可能出现构建成功、中间数据却几乎为空的情况。处理“Coverity怎么捕获编译过程，Coverity捕获编译后没有生成中间数据如何排查”时，应把编译器配置、实际构建命令和build-log.txt结合起来检查。

Coverity许可证并发怎么查看，还有许可证并发不足的时候要怎么排查，不能光看还能不能登录，或者扫描还能不能跑。Coverity在不同的部署和授权方式下，可能会受到许可证服务器、授权feature、团队成员数量、代码规模，或者扫描任务占用这些方面的限制。实际排查的时候，要先弄清楚碰上的情况，到底是浮动许可证被别人占满了，还是许可证路径、服务器连接、授权项目没有对上，才导致失败，这样才不会一开始就错怪到并发不够上面去。

Coverity分析快照的对比这件事，还有如果对比出来的结果差异太大，该怎么处理，在做版本质量复查的时候，是经常会碰到的。快照对比，它不是只去看缺陷的总数是多了还是少了，而是要先去看一看这两次分析，是不是都在同一个项目里面、用的是不是同一个流、环境是不是同一套、规则是不是同一套，才能去比的。只要扫描的范围有了变化、规则集有了变化，或者路径有了变化，那对比出来的差异就会被放大。所以做判断之前，要先把对比的口径给固定下来，然后再分开去看新冒出来的问题、还留在那里的问题，还有已经不见了的问题，这样得出来的结论，才更有把握一些。

Coverity组件映射的设置，以及映射之后责任人信息不准确时的处理，其关键并不在于一开始就去给每一个人分配缺陷，而是需要先把代码的目录结构、组件的边界、规则的匹配顺序，还有负责人之间的对应关系，这几样东西给理顺清楚。组件映射这件事，通常是按照文件的路径规则，把代码划分到不同的组件里面去，这样一来，后续的缺陷筛选、报表的统计，还有责任的分配，才会有基础。

Coverity缺陷状态怎么流转，Coverity缺陷状态和修复进度怎么同步，这类问题，是代码静态扫描被接入到研发流程以后，必须得理清楚的。Coverity把缺陷给找出来，这只是头一步，真正会拽住团队效率的，是后面怎么去分派、怎么去确认、怎么去修、怎么再扫一遍，还有怎么去关上。缺陷的那些状态，要是就只在工具自己的页面里头变来变去，那研发、测试、安全，还有项目管理，这几边的人看见的进度，就很容易凑不到一块儿去。一个比较稳当的搞法，是把扫描的状态、人手工判定的状态、修完的最后期限，还有外头工单上的状态，都给分开来管，然后再靠一套规矩，把它们给串起来。

Coverity构建捕获怎么配置，还有构建捕获不到编译命令的时候又该怎么办，做静态代码扫描时常会在这两步被卡住。Coverity分析C/C++、Java、C#这类编译型项目时，一般需要先把真实的构建过程捕获下来，这样工具才能知道源文件是怎么被编译的，用了哪些宏定义、头文件路径在哪里，以及编译时带了哪些参数。配置的时候，不能只把源码目录丢给工具，还得让它看到一次完整、干净、可复现的构建过程。

在Coverity里，分析流这个概念通常对应着一个具体的代码分支、一条版本线，或者某个固定的构建入口；所以一个项目底下往往可以挂上好几个不同的stream，比如main主干一个，release发布分支一个，feature特性分支再单独一个，分别用来接收和存放各自的扫描结果。要是对stream的管理不够上心，最容易碰到的问题就是缺陷被稀里糊涂地交到了错误的分支里，修复状态在几个地方看起来对不上，或者同一个CID在不同版本的stream之间根本没办法放在一起比对。Coverity Connect在stream收到新的缺陷数据时，会专门生成一份snapshot，后面所有关于结果的对比，也基本都是围绕着snapshot和stream的范围来展开的。