SonarQube 和 Checkmarx CxSAST 和 CxSCA 之间有什么区别？

Question

我已将 SonarQube 和 Checkmarx SAST 和 SCA 集成到 Azure DevOps 构建管道中。我可以毫无问题地查看 SonarQube 和 Checkmarx 报告。

我有以下问题。有人可以澄清一下吗：

1. SonarQube 和 Checkmarx CxSAST 有什么区别？
2. 这两者之间有什么共同点呢？
3. 在哪些情况下首选 SonarQube 和 Checkmarx？

Answer 1

如果我把它归结为一个简短的短语，SonarQube 用于确保代码质量，而 CheckMarx 用于确保运行该代码的系统的安全性。

SonarQube 着眼于几个方面，包括代码单元测试的代码覆盖率、重复百分比，以及通过代码静态分析发现的代码质量问题。

另一方面，CheckMarx 仅分析代码流以及输入和输出。它寻找最终用户提供的输入直接用于控制行为和其他“攻击向量”的情况。