全面的代码覆盖率
针对第一方、第三方和 AI 生成的代码，对 30 多种语言（和框架）进行完整的代码质量和代码安全分析
受到超过 700 万开发者和 40 万家组织的信赖
我们的安全解决方案
SonarQube 无缝融入从 IDE 到 CI/CD 的开发者工作流程，通过先进的 SAST、SCA、IaC 扫描和密钥检测，提供集成的代码质量和安全性。它深受数百万开发者的信赖，确保全面覆盖第一方代码、AI 生成代码和第三方代码。通过自动及早检测问题，您可以更快地修复问题，减少返工，并满怀信心地交付安全可靠的软件。
包括
SAST
静态应用程序安全测试 (SAST) 分析源代码以检测漏洞、安全热点和缺陷，在 SDLC 早期发现安全问题
了解更多 >
包括
污点分析
通过整个代码库的数据流分析跟踪不受信任的用户输入，识别注入和其他关键安全漏洞
了解更多 >
包括
秘密检测
一旦源代码中的机密被泄露，您的私人数据和服务就会被非法访问，从而导致您的安全漏洞
了解更多 >
包括
IaC扫描
基础设施即代码 (IaC) 扫描可在部署之前检测基础设施定义中的错误配置和安全问题
了解更多 >
先进的安全性
高级SAST
高级 SAST 扩展了污点分析，可以从传统工具无法检测到的依赖关系中发现代码与第三方代码交互中隐藏的漏洞
了解更多 >
先进的安全性
SCA
软件组成分析扫描第三方依赖项中的漏洞，确保开源组件不会带来风险
了解更多 >
主要优点
全面的代码覆盖率
广泛的检测和补救
无与伦比的准确性和速度
从开发工作流程左侧开始
满足合规需求
了解更多关于 SAST 和 SonarQube 服务器的信息。与专家交流。
静态应用安全测试（SAST）
使用我们强大的 SAST 解决方案，在漏洞影响生产环境之前自动检测漏洞。我们的 SAST 技术能够在开发过程中识别数百种不同类型的重要且相关的安全问题。
- 支持最广泛使用的编程语言，包括 Java、JavaScript、TypeScript、Python、PHP、C、C++、C# 等
- 与您的 IDE 和 CI/CD 管道集成，实现无缝安全检查
- 包含详细的修复指南和 AI CodeFix，帮助开发人员快速修复问题
- 创建自定义规则来执行特定于组织的安全策略
污点分析
我们的污点分析引擎会跟踪应用程序代码层中的复杂数据流，以识别从不受信任的来源到敏感接收器的潜在安全漏洞。
- 检测 SQL 注入、XSS、SSRF、反序列化和其他注入漏洞
- 跨功能、跨文件进行高度复杂和准确的数据流分析，以减少误报
- 框架感知扫描，了解流行框架中的安全控制
高级SAST
我们先进的静态分析功能超越了传统的 SAST，能够发现隐藏较深的安全漏洞，并减少误报。高级 SAST 有助于识别由于应用程序代码与第三方（开源）代码交互而产生的更深层、更复杂的漏洞。
- 外部依赖感知 SAST 分析，了解源和接收器之间的流程
- 跨文件污点分析深入第三方库，以检测难以发现的漏洞
- 尽管分析快速而准确，但不需要配置，也没有开销
- 适用于 Java、C#、JavaScript 和 TypeScript
软件组成分析（SCA）
通过分析软件供应链、识别漏洞和确保许可证合规性，团队可以主动保护其代码库并降低与第三方依赖相关的风险。
- 漏洞识别：简化跟踪、管理和缓解第三方开源依赖项中的第三方漏洞（包括 CVE）的流程
- 许可证合规性：确保所有合并的组件符合组织允许的软件许可证政策
- SBOM（软件物料清单）：帮助团队了解、管理和报告其代码组成的详细清单
秘密检测
利用我们全面的机密检测功能，防止敏感信息意外泄露。SonarQube 可以使用 SonarQube for IDE 在您的 IDE 源代码中查找机密，还可以使用 SonarQube（服务器和云）在您的 CI/CD 流水线中检测机密。
- 使用涵盖所有流行技术和提供商的数百条规则和秘密模式检测 API 密钥、密码、令牌和其他敏感数据
- 使用正则表达式和语义分析的强大组合来检测秘密
- 针对私人服务的组织特定秘密的自定义模式检测
- 直接在 IDE 中检测代码中的机密，防止它们进入您的存储库
基础设施即代码 (IaC) 扫描
查找基础设施即代码 (IaC) 中的安全配置错误，以确保安全的生产环境。
- 支持 Terraform、CloudFormation、Azure Resource Manager、Kubernetes 清单和 Ansible
- 检测基础设施定义中的错误配置和安全风险
- 获得可操作的、高精度的分析结果
你的团队必备
由开发人员为开发人员构建，受到组织信赖。
20亿
持续分析 LoC
110,000+
活跃项目
6,000+
可用的编码规则
立即保护您的开发管道
