SonarQube 代码质量扫描工具 代码安全

使用静态应用程序安全测试 (SAST) 在代码审查中检测安全问题

1、代码安全不再是安全团队的领域
除了文字（DevSecOps、SDLC等）之外，真正的机会在于开发人员编写更安全的代码，使用SonarQube检测漏洞和安全热点，对其进行解释，并给出适当的后续步骤。

（1）取得所有权

在代码审查期间获得安全反馈是您了解更多信息并获得代码安全所有权的机会。

（2）IDE集成

在SonarQube中查找漏洞和安全热点，并在您的IDE中以SonarLint为指导进行修复。

 （3）质量门

在您的质量门中执行漏洞标准和安全热点审查，以确保您只合并安全代码。

 （4）保持安全

对问题及其影响的深入理解会导致更好的修复和更安全的应用程序。

2、以开发团队为首的合理模式解决安全问题

（1）安全热点—代码审查

安全热点是对安全敏感代码的使用。他们可能没问题，但需要人工审查才能确定。

随着开发人员编写代码并与安全热点进行交互，他们学习评估安全风险，同时更多地了解安全编码实践。

 （2）安全漏洞—代码更改修复

安全漏洞需要立即采取行动。SonarQube提供了详细的问题描述和代码亮点，解释了您的代码存在风险的原因。

只需按照指导，签入修复程序并保护您的应用程序。

 （3）OWASP前10名

OWASP Top 10代表了安全专业人士对Web应用程序 关键的安全风险的广泛共识。SonarQube提供多种语言的重要 OWASP前10名覆盖，以帮助您保护您的系统、数据和用户。

3、通过污点分析提供 大保护

（1）污点分析

确保用户提供的数据在到达关键系统（数据库、文件系统、操作系统等）之前进行清理有助于确保您的代码安全。污点分析在整个执行流程中跟踪不受信任的用户输入——不仅跨越方法，还跨越文件。
 
（2）重要语言的关键安全规则

获取与关键语言高度相关的规则，以帮助确保您的代码安全。

4、在企业级别跟踪安全合规性
专用报告可让您针对OWASP Top 10和CWE Top 25（所有三个版本：2021、2020和2019）跟踪代码安全性。SonarSource报告可帮助安全专业人员将安全问题转化为开发人员能够理解的语言。