SonarQube和Fortify的区别对比
一直以来,有很多用户在问,SoanrQube和Fortify都是白盒的源代码扫描工具,这两个产品有什么不一样的地方呢?苏州华克斯信息科技有限公司做为SonarQube和Fortify这两个产品在中国的he心合作伙伴,希望下边的内容能解答您的疑惑。
SonarQube是一个代码质量分析平台,便于管理代码的质量,可检查出项目代码的漏洞和潜在的逻辑问题。同时,它提供了丰富的插件,支持多种语言的检测。
主要的he心价值体现在如下几个方面:
Ø检查代码是否遵循编程标准:如命名规范,编写的规范等。
Ø检查设计存在的潜在缺陷:SonarQube通过插件Findbugs等工具检测代码存在的缺陷。
Ø检测代码的重复代码量:SonarQube可以展示项目中存在大量复zhi粘贴的代码。
Ø检测代码中注释的程度:源码注释过多或者太少都不好,影响程序的可读可理解性。
Ø检测代码中包类之间的关系:分析类之间的关系是否合理,复杂度情况。
Fortify SCA是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎:数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析,分析的过程中与它特有的软件安全漏洞规则集进行全mian地匹配、查找,从而将源代码中存在的安全漏洞扫描出来,并给予整理报告。
SonarQube从七个维度来分析代码质量问题:
可靠性
安全性
可维护性
覆盖率
重复
大小
复杂度
问题
单论代码分析能力,拿SonarJava举例,对于大多数zui佳实践类型的问题,比如不该使用MD5,不要用主线程sleep等,都还是查的不错。但是真正严重的安全漏洞,比如SQL注入之类的污点传播类问题,一般涉及跨文件,函数,以及涉及对虚函数、数组、容器的处理,还要识别通过框架等配置的数据处理逻辑,那就无能为力。
这也是SonarQube分析器跟Fortify工具的差距所在。
Fortify SCA 相关工具更新
以下功能已添加到 Fortify 静态代码分析器工具中.
Fortify Analysis Plugin for IntelliJ and Android Studio
IntelliJ IDEA 和 Android Studio 的Fortify Analysis 插件现在支持:
· IntelliJ 2022.2
· Android Studio 2021.3
Eclipse 支持
Fortify Eclipse Complete 插件现在支持 Eclipse 2022-06和 2022-09。
更新 CWETop 2022 Report
更新后,纳入了Fortify软件安全内容2022更新3的内容。
自定义规则编辑器更新
包括以下通用模板和特定于类别的模板,用于生成自定义配置、正则表达式和基础结构即代码 (IaC) 规则:
· Configuration Rule for PropertyMatch
· Configuration Rule for XPathMatch
· Docker Bad Practices: Untrusted Base Image in Use
· Credential Management: Hardcoded API Credential
· Regex Rule for ContentRegex
· Regex Rule for FileNameRegex
以上信息由专业从事中国sonarqube 中文的华克斯于2024/9/14 14:32:07发布
转载请注明来源:http://m.tz1288.com/qynews/hksxxkj-2813096019.html