总结一下现在开发个微服务其实也不容易检查项工具类型干什么Sonar 代码扫描SonarQube代码质量 轻量 SAST代码坏味道、重复代码、bug、简单安全漏洞圈复杂度接收 jacoco 覆盖率报告GitHubFortify 白盒扫描Micro‑Focus Fortify SCASAST 静态白盒安全扫描深度数据流分析找 SQL 注入、XSS、命令注入等高危自研代码漏洞误报比 sonar 少偏向安全审计BlackDuck 扫描Synopsys Black DuckSCA 软件成分分析扫描 pom/gradle 依赖识别第三方 jar 包 CVE 漏洞、许可证风险、SBOM 物料清单不扫自研业务代码漏洞Black DuckSSDLC 一致性检查企业自研 / 平台校验流程合规校验不是代码扫描工具校验研发流程是否满足 SSDLC 安全开发生命周期规范安全需求、威胁建模、评审记录、扫描报告是否齐全流程是否闭环用于合规审计JUnit 覆盖率JUnitJaCoCo单元测试度量JUnit 写单元测试JaCoCo 统计行 / 分支覆盖率Sonar 读取 jacoco 报告做门禁覆盖率只代表测试跑过多少代码不代表测试写得对GitHub