Sonar与Veracode用途是否相同？能否同时扫描应用及获取指定指标？

用途是否相同？ #

完全不同。Sonar（比如SonarQube）核心是静态代码质量分析，聚焦代码本身的健康度——比如代码覆盖率、重复代码占比、代码缺陷逻辑问题、代码异味（不符合编码规范的写法）这些维度，帮团队提升代码可维护性和基础质量。

而Veracode主打应用安全测试，重点是检测应用中的安全漏洞，比如OWASP Top10风险、注入攻击面、权限控制缺陷、合规相关的安全问题，核心目标是规避应用上线后的安全风险。

能否同时使用两款工具扫描？ #

当然可以，而且很多开发团队会同时部署这两款工具，因为它们覆盖的是软件研发中不同维度的问题：Sonar管代码“好不好用、好不好维护”，Veracode管代码“安不安全”，两者互补，能更全面地把控应用的整体质量。

指标覆盖与工具选择 #

Veracode确实没有Sonar提供的代码覆盖率、重复代码、代码异味这类指标，它的功能完全围绕安全检测展开。所以如果你的团队需要跟踪这些代码质量相关的指标，必须保留Sonar；如果只关注应用安全层面的问题，单独用Veracode就够。但从实际场景来看，多数团队会同时使用两款工具，兼顾代码质量和安全风险的双重管控。

内容的提问来源于stack exchange，提问作者Naresh Ede