Software Composition Analysis (SCA) - now available from Sonar
Secure your code and software supply chain with developer-first SCA - now included in SonarQube Advanced Security.
One integrated platform for all your code
可操作的代码智能
SonarQube是唯一能为自有代码、AI生成代码及开源代码提供可操作代码智能的集成平台，所有功能均整合于单一解决方案。无论代码来源如何，您都能获得代码健康与安全的全局视图。
一体化分析
SonarQube提供集代码质量、静态应用安全测试(SAST)、污点分析、软件成分分析(SCA)、机密检测及基础设施即代码(IaC)扫描于一体的解决方案。它能全面洞察缺陷、漏洞、CVE、软件成分清单(SBOM)及许可证问题，简化工作流程并消除工具冗余。
开发者导向工作流
在PR、CI/CD流程（即将支持IDE）中直接查看开源漏洞与许可问题。这种直接反馈机制可减少上下文切换、加速修复进程、确保安全依赖项，清晰的风险策略让开发管道畅通无阻。
合规报告
跨单个项目或整个应用组合审查安全问题的趋势与严重程度，并生成符合PCI DSS、OWASP十大漏洞、CWE、STIG等行业标准的合规报告。定时报告支持每日/每周/每月自动推送。
Ecosystem support
全球超过700万开发者信赖
The challenge
Today's rapid development, AI code, and open source reliance are amplifying complex security risks that customers urgently need to minimize.
安全漏洞
开源CVE漏洞使应用程序暴露于攻击风险。忽视开源包的生产环境使用情况、维护者信息、来源、严重程度、利用历史及修复可用性，可能导致安全漏洞和业务中断。
许可证违规
不兼容的许可证会引发法律、合规及商业风险。忽视许可证许可范围、例外条款适用性及传递性风险的存在，可能导致严重的法律和运营问题；管理这些问题不应成为额外负担。
供应链安全
您的应用构建于复杂的开源依赖网络之上。如何确保维护者优先遵循安全软件开发规范？这种可见性缺失将给供应链带来重大风险。
开发者疲劳
追逐无休止的安全警报，使开发者无暇专注功能开发。追踪新安全报告、追溯传递包的引入路径，以及管理非紧急漏洞的生命周期，这些工作极大加剧了资源浪费和开发者挫败感。
