黑龙江sonarqube总代理-苏州华克斯公司

sonarqube从七个维度来分析代码问题：

---性

安全性

可维护性

覆盖率

重复

大小

复杂度

问题

单论代码分析能力，拿sonarjava举例，对于大多数zui佳实践类型的问题，比如不该使用md5，不要用主线程sleep等，都还是查的---。但是真正---的安全漏洞，比如sql注入之类的污点传播类问题，一般涉及跨文件，函数，以及涉及对虚函数、数组、容器的处理，还要识别通过框架等配置的数据处理逻辑，那就---为力。

这也是sonarqube分析器跟fortify工具的差距所在。

{appscan}黑盒扫描工具 

appscan? 是一个适合safety engineering的 web 应用程序和 web 服务渗透测试解决方案。

关键功能：

· 对现代 web 应用程序和服务执行自动化的动态应用程序安全测试 (dast) 和交互式应用程序安全测试 (iast)。

· 支持 web 2.0、javasc ript 和 ajax 框架的all round javasc ript 执行引擎。

· 涵盖 xml 和 json 基础架构的rest web 和  soap 服务测试支持 ws-security 标准、xml 加密和 xml 签名。

· 详细的漏洞公告和修复建议。

· 40 多种合规性报告，包括支付卡行业数据安全标准 (pci dss)、支付应用程序数据安全标准 (pa-dss)、iso 27001 和 iso 27002，以及 basel ii。

.提供的自定义功能和可扩展性。