一、静态代码扫描 与 动态代码扫描的区别
静态代码扫描和动态代码扫描是两种不同的代码分析方法，它们都可以用于发现代码中的漏洞和错误。
下面是它们的区别：
1.1 静态代码扫描
静态代码扫描是一种分析源代码的方法，它不需要运行代码。
它通过检查代码中的语法、结构和规则来查找潜在的问题。
静态代码扫描可以自动化执行，并且可以在代码提交之前或在构建过程中进行。
它可以帮助开发人员发现代码中的潜在问题，并提供修复建议。
在Java中，可以使用静态代码分析工具，例如SonarQube、FindBugs或Checkstyle，来执行静态代码扫描。
这些工具可以检查代码中的常见问题，例如空指针引用、未使用的变量和不良的代码风格。
1.2 动态代码扫描
动态代码扫描是一种分析正在运行的代码的方法。
它通过模拟攻击来查找潜在的漏洞和错误。
动态代码扫描需要在运行时执行，并且可以帮助发现代码中的漏洞和安全问题。
在Java中，您可以使用动态代码分析工具，例如OWASP ZAP或Burp Suite，来执行动态代码扫描。
这些工具可以模拟攻击，并查找应用程序中的漏洞和安全问题。
1.3 注意事项
静态代码扫描和动态代码扫描都有其优点和缺点。
| 优缺点 | 静态代码扫描 | 动态代码扫描 |
|---|---|---|
| 优点 | 在代码提交之前或在构建过程中自动执行，并且可以帮助发现代码中的潜在问题 | 可以模拟攻击，并查找应用程序中的漏洞和安全问题。 |
| 缺点 | 无法检测运行时问题 | 需要在运行时执行，并且可能会产生误报。 |
因此，为了确保代码的安全性，建议同时使用静态代码扫描和动态代码扫描。
这样可以最大程度地发现代码中的漏洞和安全问题。
二、SonarQube入门介绍
三、SonarQube竞品分析
FindBugs
Checkstyle