{源代码审计}应用安全expert团队帮助客户发现源代码中可能导致数据损坏、不可预测的行为、应用程序故障和其他问题等，Maximum extent的解决源代码中的质量缺陷、潜在安全漏洞、测试问题、及Java运行时缺陷等，并出具源代码审计报告。
编程语言支持：Java、C/C++、OC、JavaScript、PHP、Python、.Net等20+种类型。
审计类型支持：安全漏洞（注入、跨站脚本、安全配置错误、敏感信息泄露、未验证的重定向和转发等）、质量缺陷（死代码、空方法、未释放的资源、过实的方法等）、编程风格（命名规则、变量常量与类型、表达式与语句、参数、注释、文件布局等）等100+类型。
白盒测试工具支持：Fortify、SonarQube、Coverity等。
华克斯科技始终秉承着“以客户为中心”的经营理念，在不断丰富产品线和提高服务能力的同时，也一直积极地进行区域拓展，目前已在北京、深圳设有办事处，以便为客户提供更好的本地服务。
安全培训服务
产品培训
针对major特定的产品进行使用培训和进阶培训，如下：
应用安全：Fortify、SonarQube、Checkmarx、Coverity、Webinspect、Appscan。
性能测试：Loadrunner。
功能测试：UFT（QTP）。
应用生命周期管理：ALM（QC）。
（2）、定制化培训
针对客户的不同行业、不同需求、不同项目情况进行定制化的高阶培训，如漏洞定制化规则（Fortify、SonarQube）、国际应用安全标准（CWE、OWASP）培训、公司整体应用代码质量的提升方案、公司整体应用安全方案的建设和推广等。
SonarQube扫描出来的内容，基本上都与代码质量相关联的。
例如：
ØModifiers should be declared in the correct order
ØSecti of code should not be commented out
ØCtructors should not be used to instantiate "String", "BigInteger", "BigDecimal" and primitive-wrapper classes
ØString function use should be optimized for single characters
ØString literals should not be duplicated
SonarQube从七个维度来分析代码质量问题：
可靠性
安全性
可维护性
覆盖率
重复
大小
复杂度
问题
单论代码分析能力，拿SonarJava举例，对于大多数zui佳实践类型的问题，比如不该使用MD5，不要用主线程sleep等，都还是查的不错。但是真正严重的安全漏洞，比如SQL注入之类的污点传播类问题，一般涉及跨文件，函数，以及涉及对虚函数、数组、容器的处理，还要识别通过框架等配置的数据处理逻辑，那就无能为力。
这也是SonarQube分析器跟Fortify工具的差距所在。
以上信息由专业从事中国sonarqube 中文的华克斯于2025/6/14 9:03:24发布
转载请注明来源：http://www.zhizhuke.cn/qyzx/hksxxkj-2868914988.html
上一条：电解电容固定胶带来电咨询「多图」
