应用程序安全始于代码

使用我们强大的 SAST 解决方案，在漏洞影响生产环境之前自动检测漏洞。我们的 SAST 技术能够在开发过程中识别数百种不同类型的重要且相关的安全问题。

• 支持最广泛使用的编程语言，包括 Java、JavaScript、TypeScript、Python、PHP、C、C++、C# 等
• 与您的 IDE 和 CI/CD 管道集成，实现无缝安全检查
• 包含详细的修复指南和 AI CodeFix，帮助开发人员快速修复问题
• 创建自定义规则来执行特定于组织的安全策略

我们的污点分析引擎会跟踪应用程序代码层中的复杂数据流，以识别从不受信任的来源到敏感接收器的潜在安全漏洞。

• 检测 SQL 注入、XSS、SSRF、反序列化和其他注入漏洞
• 跨功能、跨文件进行高度复杂和准确的数据流分析，以减少误报
• 框架感知扫描，了解流行框架中的安全控制

我们先进的静态分析功能超越了传统的 SAST，能够发现隐藏较深的安全漏洞，并减少误报。高级 SAST 有助于识别由于应用程序代码与第三方（开源）代码交互而产生的更深层、更复杂的漏洞。

• 外部依赖感知 SAST 分析，了解源和接收器之间的流程
• 跨文件污点分析深入第三方库，以检测难以发现的漏洞
• 尽管分析快速而准确，但不需要配置，也没有开销
• 适用于 Java、C#、JavaScript 和 TypeScript

通过分析软件供应链、识别漏洞和确保许可证合规性，团队可以主动保护其代码库并降低与第三方依赖相关的风险。

• 漏洞识别：简化跟踪、管理和缓解第三方开源依赖项中的第三方漏洞（包括 CVE）的流程
• 许可证合规性：确保所有合并的组件符合组织允许的软件许可证政策
• SBOM（软件物料清单）：帮助团队了解、管理和报告其代码组成的详细清单

利用我们全面的机密检测功能，防止敏感信息意外泄露。SonarQube 可以使用 SonarQube for IDE 在您的 IDE 源代码中查找机密，还可以使用 SonarQube（服务器和云）在您的 CI/CD 流水线中检测机密。

• 使用涵盖所有流行技术和提供商的数百条规则和秘密模式检测 API 密钥、密码、令牌和其他敏感数据
• 使用正则表达式和语义分析的强大组合来检测秘密
• 针对私人服务的组织特定秘密的自定义模式检测
• 直接在 IDE 中检测代码中的机密，防止它们进入您的存储库

查找基础设施即代码 (IaC) 中的安全配置错误，以确保安全的生产环境。

• 支持 Terraform、CloudFormation、Azure Resource Manager、Kubernetes 清单和 Ansible
• 检测基础设施定义中的错误配置和安全风险
• 获得可操作的、高精度的分析结果