Checkmarx默认查询规则能够覆盖大量常见安全问题，但在实际项目中，企业通常还需要针对内部编码规范、特殊业务逻辑以及自定义安全要求增加检测能力。自定义查询可以补充默认规则无法覆盖的场景，但由于它涉及查询编写、规则加载、代码解析和扫描配置多个环节，出现“规则已经创建但扫描没有结果”的情况并不少见。围绕“Checkmarx怎么配置自定义查询规则，Checkmarx自定义规则没有触发如何检查”，关键是确认规则是否真正进入扫描流程，并判断问题发生在哪个阶段。

Checkmarx完成SAST、SCA、IaC等扫描后，报告不仅用于保存漏洞清单，也承担安全评审、整改分派和版本对比等作用。风险等级则用于表达漏洞的潜在影响和处理优先级，但不同扫描器的等级来源并不完全相同。围绕“Checkmarx怎么导出安全扫描报告，Checkmarx报告中的风险等级怎么解读”，需要把报告范围、漏洞严重程度与项目整体风险分开理解，避免仅根据颜色或数量判断项目是否安全。

在Checkmarx One中，项目访问已经不再只依赖简单的用户角色，而是同时受到用户或用户组的资源分配范围和角色权限影响。Checkmarx怎么设置项目访问权限，Checkmarx项目成员看不到扫描结果如何排查，需要先确认成员是否真正被分配到目标项目，再检查其角色是否具备查看项目、扫描和结果的权限。当前新版Access Management支持Tenant、Application和Project多个资源层级，不同层级会直接影响成员能够看到哪些项目。

Checkmarx One的SAST增量扫描主要用于缩短频繁代码提交后的安全检测时间。它并不是只扫描本次修改的几个文件，而是以最近一次全量扫描为基线，分析累计发生变化的文件以及与这些文件存在关联的Closure代码。因此，增量任务比Git变更文件多并不一定异常。处理“Checkmarx怎么配置扫描增量阈值，Checkmarx增量扫描范围异常如何调整”时，重点是判断阈值、全量基线和当前分支是否处于同一套扫描链路中。

开发人员完成代码修改后，Checkmarx不会因为代码仓库中已经提交了修复，就自动把原漏洞改为已修复。平台需要重新扫描修改后的源码，并通过前后两次结果匹配判断问题是否仍然存在。了解Checkmarx修复验证怎么执行Checkmarx修复验证后漏洞状态没有更新怎么办，可以避免因扫描分支、源码范围或结果视图选择错误，误以为修复没有生效。

代码仓库中往往同时存在业务源码、第三方依赖、构建产物和临时文件。如果全部进入SAST扫描，结果中容易出现大量无关内容。设置排除路径时，还要确认扫描分支、源码根目录和规则匹配方式。弄清Checkmarx扫描排除路径怎么添加Checkmarx排除路径设置后仍被扫描怎么办，可以让扫描范围更准确，也能减少规则保存后没有生效的情况。

Checkmarx完成SAST扫描后，结果查看器中可能同时存在不同语言、严重程度、漏洞类型和代码路径的问题。合理使用分组，可以更快定位同类风险，但分组节点数量、相似结果数量和实际漏洞实例数量采用的统计口径并不相同。了解Checkmarx结果分组怎么设置Checkmarx结果分组后漏洞数量不一致怎么办，有助于避免把页面展示变化误认为扫描结果发生变化。

项目持续迭代后，扫描结果中往往同时存在历史遗留问题、反复出现的问题和本次修改引入的问题。如果没有稳定的参照扫描，只比较两次结果总数，很容易把规则调整、扫描范围扩大或文件路径变化误认为代码新增风险。了解Checkmarx扫描基线怎么建立Checkmarx基线更新后新增问题怎么识别，可以帮助团队明确比较起点，让后续修复和版本评审更有依据。

项目接入Checkmarx后，扫描结果并不只是由源代码决定，所使用的查询预设同样会影响检测范围。预设中如果没有包含项目语言对应的查询，或者项目规则、扫描命令覆盖了原来的设置，就可能出现漏洞数量偏少、部分语言没有结果等情况。弄清Checkmarx查询预设怎么配置Checkmarx查询预设不适配项目语言怎么办，有助于让预设、项目语言和实际扫描范围保持一致。

想要搞明白Checkmarx容器镜像扫描怎么开启，还有扫描失败了该怎么排查，不能只想着把代码仓库交给工具扫一遍就行，更重要的是先搞清楚扫描的对象到底是什么，是Dockerfile里的基础镜像，还是已经构建好的成品容器镜像。Checkmarx的Container Security模块可以扫描项目里的Dockerfile，找出里面用到的容器镜像，还有镜像存在的风险；如果用CLI命令运行，还能指定公共或者私有仓库里的具体镜像来扫描。