SonarQube Advanced Security正式发布：“开发者优先”的全栈代码安全解决方案
Sonar宣布正式发布SonarQube Advanced Security（高级安全功能），迈出重要一步！
创实信息作为SonarQube中国授权合作伙伴，持续为中国企业提供本地化的技术支持和服务保障。本文中，我们将为您详细解读SonarQube Advanced Security 的核心特性与价值所在，助力您的团队在高速交付的同时，构建更加安全、可靠、合规的软件产品。
研讨会预告：
了解更多？欢迎报名参加我们的网络研讨会，探索SonarQube的高级安全功能及演示，助力您的软件开发安全提速、高效交付！
基于超过 700 万开发者和 40 万组织信赖的行业领先的代码质量分析技术，SonarQube现推出首个完全集成的解决方案——Advanced Security，帮助开发者在整个代码库中发现并修复代码质量和安全问题，涵盖自研代码、AI生成的代码以及现代应用中广泛使用的第三方开源依赖项。这一统一方案打破了以往工具分散的局限性，将全面的安全与质量分析直接融入开发工作流——真正做到了“开发者优先”。
为什么当前比以往更加需要全面的代码安全？
当今的软件开发如同一场高速竞赛。开发团队正以前所未有的速度进行开发，广泛采用AI生成的代码，并依赖庞大的第三方开源库来构建应用。数据显示，现代应用程序中70%-90%的代码来自开源库，对AI的依赖呈爆炸式增长，超过62%的开发者现在使用AI编码工具。尽管AI与开源库能够加速创新，但同时也扩大了潜在攻击面。供应链攻击日益猖獗，而传统的安全工具往往难以应对，不仅误报频繁，干扰开发流程，许多问题还在上线后才被发现，导致为时已晚。
无论是来自开源库还是AI生成工具，对外部代码的依赖加深都会带来新的安全挑战。第三方库可能包含已知的漏洞（如CVE），或带有限制性许可证，从而带来法律风险。AI生成的代码虽然高效，但可能会引入难以察觉的缺陷、质量问题或不安全的编程模式。
很多企业试图通过独立的解决方案，包括静态安全测试（SAST）、软件组成分析（SCA）、密钥检测以及基础设施即代码（IaC）扫描，来应对这些不断加剧的风险，往往会导致效率低下，特别是这些工具还由不同的团队维护。开发者面临着上下文频繁切换、误报过多、工具结果不一致、难以关联结果以判断真正的安全风险等困扰。当开发者在信息中过载，整体的安全成效必然会大打折扣。为什么？
因为，安全工具只有真正被开发者使用，才有效。
而那些打断开发流程、误报频繁、配置复杂的工具，最终常常被搁置，漏洞也因此潜伏到发布之后才被发现，修复的代价也更高。Sonar所秉持的“开发者优先”理念正是解决这一问题的应对方法。SonarQube Advanced Security将全面的安全功能无缝集成到开发者日常使用的工具中，让安全自然成为开发流程的一部分，而不是“事后补丁”。
集成代码质量+代码安全
SonarQube以业界领先的代码质量分析能力而广为人知，其核心安全功能多年来也在不断拓展。如今，SonarQube 已成为集成代码质量与代码安全为一体的行业领导者。
SonarQube中已有的核心安全功能能够帮助开发者保护自有代码和AI生成的代码，具体包括：
- SAST（静态应用安全测试）：SonarQube 强大的 SAST 引擎会对源代码进行分析，提前发现各种安全漏洞和弱点。它能识别诸如弱加密、不安全的通信或身份验证、缓冲区溢出等问题，覆盖流行的编程语言和框架。你可以将其视为对自己编写代码的一种智能扫描器。
污点分析（Taint Analysis）：这是一种先进的数据流分析技术，能够追踪潜在不受信任的用户输入在应用程序中的流动路径，甚至跨多个文件和函数。它对于发现复杂的注入漏洞（如SQL注入和跨站脚本攻击XSS）至关重要，可确保来自外部源的数据在与系统敏感部分（如数据库或操作系统）交互之前经过正确的验证或“清理”。
密钥检测（Secrets Detection）：这一功能如同代码库的守护者，会自动扫描硬编码的敏感信息，如 API 密钥、密码、数据库凭证和安全令牌。泄露的密钥是许多安全漏洞的常见入口。SonarQube 通过数百种预定义模式（企业版还支持自定义模式）来检测密钥，防止其被提交到代码库中，尤其是在与SonarQube IDE插件扩展配合使用时。
基础设施即代码（IaC）扫描 ：云基础设施通常通过Terraform、CloudFormation、Kubernetes 清单、Azure Resource Manager 和 Ansible 等工具以代码形式定义。IaC 扫描会对这些配置文件进行分析，在部署前发现错误的配置和安全风险，确保从一开始就建立安全的环境。
这些核心安全功能为人工编写和AI生成的代码提供关键保护，能够发现隐藏的注入漏洞、组织机密泄露、识别配置错误等问题，从而降低数据泄露的风险和事后修复成本。而现在，SonarQube Advanced Security更进一步，将保护范围拓展至开源代码和整个软件供应链。
SonarQube Advanced Security：面向所有代码的“开发者优先”安全解决方案
SonarQube Advanced Security 是 SonarQube Enterprise（及更高版本）的扩展模块，代表了 SonarQube 在安全分析领域的重大突破。它将SonarQube的强大分析能力扩展至整个软件供应链，特别关注开源依赖项的安全性。这一目标通过两大核心功能实现：SCA和高级SAST。
软件组成分析（SCA）：
SCA是识别和分析应用组件的过程。鉴于开源软件构成了现代代码库的绝大多数，理解这些组件带来的风险至关重要。SonarQube的SCA功能提供了全面的可视化和控制力：
漏洞检测：自动识别公共数据库（如NVD）中列出的已知漏洞（CVE），涵盖直接依赖项（显式包含的库）和间接依赖项（依赖项所依赖的库）。对于每个发现的漏洞，SonarQube 提供关键上下文信息，包括严重程度（CVSS评分）、EPSS（漏洞利用预测评分系统）、受影响的组件版本、可用补丁或修复信息，以及修复建议，以便开发者能主动防御已知漏洞。
许可证合规性：开源组件附带了规定其使用方式的许可证。违反这些许可证可能导致严重的法律和合规问题。SonarQube能够自动识别所有依赖项的许可证，并帮助确保它们符合组织政策，标记可能存在冲突或问题的许可证，以帮助简化管理开源许可证风险的复杂任务。
SBOM生成：自动生成符合CycloneDX 和 SPDX 等标准格式的软件物料清单（SBOM，应用中所有软件组件和依赖项的详细清单）。这为安全审计、合规要求以及发现新漏洞时的快速响应提供了必要的透明度。
目前，SonarQube SCA 支持 Java、Kotlin、Scala（Maven、Gradle）、JavaScript、TypeScript（npm、Yarn）、Python（pip、Poetry）、C#/.NET（NuGet）、Go、Rust 和 Ruby 等主流生态系统，并承诺在未来版本中继续扩展支持范围。
高级 SAST：
SCA专注于发现依赖项中的已知漏洞，高级SAST解决的则是一个经常被忽视的问题：自有代码与第三方库的代码互相交互所产生的漏洞。
传统的SAST工具通常将库视为“黑盒”，仅分析代码而不追踪数据流入或流出库代码本身的情况。这可能导致一些关键漏洞被遗漏，比如受污染的用户输入被传递给某个不安全使用它的库函数，或者库返回不安全的数据而被有些应用误用。
SonarQube 的高级SAST克服了这一局限。它扩展了 SonarQube 强大的污点分析引擎，能够追踪进出第三方库的代码的数据流情况。通过分析应用实际使用这些依赖项的方式，高级SAST可以发现传统SAST工具无法检测到的深层次、复杂的漏洞，以便开发者能够更深入、准确地了解使用开源组件所带来的安全风险。
联动开源维护者，主动提升供应链安全
SonarQube Advanced Security是Sonar收购整合Tidelift后推出的首项功能。Sonar还采取积极措施以提升开源安全——通过向开源项目维护者支付费用，鼓励他们遵循安全软件开发实践，并记录所遵循的实践流程。
虽然标准的 SCA 主要依赖于公开的漏洞数据库，但此次合作还提供了超出基本CVE信息的经过验证、精选的情报。只有在SonarQube中，你才可以受益于这些维护者提供的专业洞察：
误报验证：确认报告的CVE是否真的影响特定的软件包版本或使用场景。
可利用性的信息：提供有关漏洞在实际场景中是否可被实际利用的信息。
临时解决方案和建议：当无法立即修复时，提供可降低风险的指导建议。
这种由人工精选的智能情报，有望显著减少依赖扫描中常见的冗余信息，使开发和安全团队能够集中精力应对真正重要的风险，从而节省时间并加速问题修复。
SonarQube 2025.3中新增的其他安全功能
SonarQube Advanced Security正式发布的同时，SonarQube Server 2025.3 版本也正式推出，并带来了其他重要的增强安全功能：
扩展的密钥检测：密钥检测引擎现已覆盖更多场景，包含超过300种密钥模式的扩展库，并继续支持自定义模式（企业版），以检测更多潜在的凭证泄露风险。
新增语言支持：SAST和污点分析功能现已扩展至 Go 和 Kotlin，为使用这些流行现代语言的团队提供安全开发实践支持。
新增安全报告：SonarQube 现在提供符合最新 CWE Top 25 2024 和 OWASP Top 10 Mobile 标准的报告。使开发者和管理者能够根据当前行业基准评估安全风险。
SonarQube优势：让代码安全真正落地
SonarQube Advanced Security提供了一种全新的代码安全方式——既赋能开发者，又简化开发与安全团队之间的协作。其优势包括：
集成代码质量+代码安全：作为一个集成平台，提供代码质量与代码安全分析（SAST、高级SAST、SCA、污点分析、密钥检测、IaC扫描、安全报告），支持所有主流的编程语言和框架，覆盖自研、AI生成和开源代码。无需在多个割裂的工具之间切换。
无与伦比的精度与速度：SonarQube以高真阳性率和低误报率著称，得益于覆盖整个代码库的高级分析引擎，如污点分析和高级SAST。分析速度极快，设计上可无缝集成到 CI/CD 流水线中，不会造成瓶颈。
无缝集成工作流（“左移”策略）：将安全性直接嵌入开发者的工作流。通过连接模式下的SonarQube IDE插件在IDE中即时反馈，在拉取请求中进行自动化检查并清晰标注，以及在 CI/CD 流水线中设置质量门，防止不安全的代码进入生产环境。这种“左移”策略使问题更及时地被发现，更容易被解决，修复成本也更低。
可操作的修复建议：SonarQube 不仅发现问题，还提供清晰的解释，高亮显示有问题的代码，并通过 AI CodeFix 提供修复建议，帮助开发者快速、正确地解决问题。
合规支持：轻松跟踪并报告对主要安全标准的合规情况，包括 OWASP Top 10、PCI DSS、CWE Top 25、OWASP ASVS、STIG 和 CASA。SonarQube 还与NIST安全软件开发框架（SSDF）等框架保持一致，简化合规流程。
通过解决传统安全工具的常见痛点（如误报多、流程中断、缺乏集成），SonarQube Advanced Security真正让开发者愿意使用，帮助组织更快、更安全地交付高质量软件。
可用性说明：
现已可用：SonarQube Advanced Security作为SonarQube Server Enterprise 或 Data Center Edition 2025.3版本的附加许可提供。
即将上线：SonarQube Cloud Enterprise支持计划于2025年晚些时候推出。
免费试用SonarQube Advanced Security：
请咨询SonarQube中国授权合作伙伴-创实信息，我们提供SonarQube企业版、Advanced Security的免费试用、咨询、销售、安装部署、技术支持等一站式服务。
了解更多：https://www.shcsinfo.com/sonarqube
联系方式：021-61210910、customer@shcsinfo.com