Snyk 和 Sonarcloud/SonarQube 的比较？

Question

我需要比较 Snyk 和 Sonarcloud/Sonarqube 的特性和功能，我唯一能找到的是速度比较：

https://snyk.io/blog/sast-tools-speed-comparison-snyk-code-sonarqube-lgtm/

....有谁知道两者之间是否有任何特性和功能的比较？如果是这样，请告诉我在哪里看？

非常感谢您对此的任何帮助。

Answer 1

我们在Snyk做了对比和benchmark。 简短的回答很简单：

• Sonarqube 专注于代码质量并且在这方面相当擅长。但是安全扫描是一个附加功能并且非常有限（在支持的语言、规则覆盖范围、误报数量方面）并且很少被视为 SAST 工具
• Snyk 不支持质量（只是 IDE 中的一些规则）但非常注重安全性。凭借快速扫描、准确性、SAST 涵盖的 CVE 数量的深度和广泛的语言覆盖范围。此外，Snyk 具有强大的 SCA 支持。 希望有所帮助。

我亲自对这个 repo 进行了比较：https://github.com/OWASP-Benchmark/BenchmarkJava，结果很清楚。 希望有所帮助。