SonarQube 是一種流行的開源代碼質量工具，也執行安全分析，非常適合大多數團隊，但是，對於將安全視為重要要求的團隊來說，它會有所不足，並且必須由更強大的安全分析工具來補充或取代。
什么是 SonarQube
SonarQube 最初是作為源代碼質量分析工具誕生的，然后迅速成為最常用的 DevOps 工具之一，用於獲取有關編碼最佳實踐、約定和代碼性能的建議。最近在 2018 年，添加了一些安全功能。隨着時間的推移，由於應用程序安全測試 (AST) 工具的普遍采用以及對發布安全代碼的重要性的更高認識，SonarQube作為安全工具的受歡迎程度也有所提高。
SonarQube 是一個開源版本和幾個商業產品，包括一個企業版本。
用於 AppSec 的 SonarQube
SonarQube 包含一組靜態分析 (SAST)規則，用於查找應用程序代碼中的安全漏洞，但SonarQube 不是專門為安全分析構建的解決方案。作為參考，在 600 多條 Java 規則中，不到 50 條規則被視為安全漏洞。
靜態分析 (SAST) 的工作原理是查看應用程序的源代碼並模擬應用程序的執行以查找可能表明存在安全風險的可疑模式。SonarQube 使用靜態污點跟蹤，這有助於發現一些比簡單的正則表達式匹配更細微的風險，但眾所周知會產生大量的誤報，必須由專家手動驗證才能對開發人員有所幫助。
一些高級靜態數據流技術在開源版本中不可用，需要付費的企業許可證訂閱。
您的團隊應該使用SonarQube嗎？
現代軟件開發過程是一項復雜的操作，需要多個團隊和工具。每個應用程序都有自己的穩定性、性能和安全要求，具體取決於業務用例。
在這種情況下，很難廣泛推薦或阻止特定工具。讓我們來看看 SonarQube 作為安全分析工具的優缺點，並提供一些通用指南。
SonarQube 優點
超多語言支持：
SonarQube 支持超過 25 種編程語言。但是，某些語言僅在企業版中可用。
長期開源項目：
SonarQube 品牌受到許多團隊的信任，並已得到驗證。它是最受推薦的免費應用程序安全測試解決方案之一。很容易下載和實驗來評估適合度。
輕松集成：
Sonarqube 可以輕松集成到大多數 CI/CD 管道、IDE 和 DevOps 工具鏈中。
SonarQube 的缺點
誤報和低檢測率：
根據OWASP 基准，一種衡量安全工具准確性的科學方法，SonarQube 報告了近 20% 的誤報。有關更多詳細信息，請參閱 OWASP 基准測試部分。
基於掃描的方法：
SonarQube 通過離線掃描代碼來工作。如果項目很復雜，這個過程會很慢，並且會延遲開發過程。
需要訪問源代碼：
SonarQube 需要直接訪問應用程序的源代碼。這意味着它無法驗證預編譯的依賴項，例如外部合作伙伴提供的開源包、遺留代碼和模塊。目前，很多代碼檢測工具可以檢測源代碼或者編譯后的文件。
結果很快過時：
應用程序更改時，SonarQube 結果已過時，必須執行新的掃描過程。這讓每個人都感到沮喪，因為沒有人願意在可能已經改變的結果上浪費時間。
不適用於生產系統：
由於掃描方法和需要訪問源代碼，SonarQube 不適用於生產系統。