能否使用SonarQube对.NET Core 3.2应用开展SAST检测及替代方案咨询

首先明确结论：完全可以使用SonarQube开展相关测试 #

你有Java栈使用SonarQube+FindSecBugs的经验的话，上手.NET场景会非常快，SonarQube官方原生支持.NET生态的SAST检测，不需要额外找第三方安全插件就能覆盖大部分常见安全风险：

• 支持的版本范围：SonarQube 7.9及以上版本都已经兼容.NET Core 3.x系列，你只要用对应版本的SonarScanner for .NET扫描器就能完成代码拉取、分析、结果上报的全流程
• 内置安全规则覆盖：默认包含OWASP Top10、CWE、SANS Top25等主流安全标准对应的检测规则，覆盖注入风险、敏感信息硬编码、认证授权缺陷、不安全的序列化等.NET常见安全问题，和Java侧的规则覆盖逻辑是一致的
• 扫描操作流程：和Java侧类似，只需要在构建前执行扫描器的开始命令，完成正常的.NET构建后执行结束命令即可上报结果，典型命令如下：

# 第一步：启动扫描，指定SonarQube服务地址、项目key、token
dotnet sonarscanner begin /k:"你的项目key" /d:sonar.host.url="你的SonarQube地址" /d:sonar.login="你的访问令牌"
# 第二步：正常构建项目
dotnet build
# 第三步：结束扫描，上报结果
dotnet sonarscanner end /d:sonar.login="你的访问令牌"

可选替代方案 #

如果因特殊情况无法使用SonarQube，可以选择以下方案：

• Roslyn Security Analyzers：微软官方推出的.NET编译器平台的安全分析扩展，直接集成到Visual Studio或者CI流程中，轻量无额外服务依赖，规则更新和.NET版本迭代同步
• Semgrep：跨语言的静态分析工具，支持自定义规则，也有社区维护的.NET安全规则集，配置灵活，适合有自定义检测需求的场景
• DevSkim：微软开源的轻量SAST工具，支持IDE集成和CI扫描，覆盖常见安全问题，使用门槛低

内容的提问来源于stack exchange，提问作者VSTech