如何在SonarQube 7.0中衡量安全性？求Java项目更多安全指标及插件

我来分享下在SonarQube 7.0里针对Java项目做安全度量的实际经验——你提到的内置OWASP规则和基础Security选项确实偏基础，要覆盖更全面的安全场景，得从这几个方向入手：

一、深挖SonarQube内置的安全能力 #

别只停留在表面的Security选项，其实SonarQube 7.0的Java插件已经集成了OWASP Top 10核心规则，只是默认的质量配置可能没全开：

• 进入「质量配置」页面，找到你的Java项目使用的配置，编辑时勾选「OWASP Top 10」规则组，这里面包含了SQL注入、XSS、硬编码凭证、不安全的反序列化等关键漏洞检测。
• 另外，在「Security」规则分类下，还有一些容易被忽略的规则，比如检测敏感信息泄露（如日志里打印密码）、不安全的线程处理，记得把这些高风险规则设为「必须修复」级别。

二、必装的安全插件（针对Java项目） #

这几个插件能大幅提升SonarQube的安全检测能力，而且都兼容SonarQube 7.0：

• FindSecBugs插件：Java项目的安全检测神器，基于FindBugs扩展了上百个Java专属安全规则，比如检测弱加密算法（如MD5、DES）、不安全的反射调用、错误的权限控制、弱随机数生成等。安装后会新增独立的规则组，直接加到你的质量配置里就能用。
• OWASP Dependency-Check插件：专门解决依赖库的安全问题，它会扫描项目的Maven/Gradle依赖，匹配CVE数据库中的已知漏洞，把依赖漏洞信息同步到SonarQube中——这部分是内置OWASP规则完全覆盖不到的，毕竟很多安全问题都来自第三方依赖。
• Checkmarx插件：如果你们团队在用Checkmarx做SAST扫描，可以通过这个插件把扫描结果导入SonarQube，实现代码漏洞的统一管理，它能检测到一些Sonar原生规则漏掉的深度漏洞，比如路径遍历、XXE注入等。

三、自定义安全指标补充 #

如果内置和插件的规则还满足不了你们的定制化需求，可以试试这些方法：

• 编写自定义安全规则：用SonarQube的Java规则API开发自己的规则，比如强制项目使用公司指定的加密工具类、禁止直接使用System.out.println打印敏感信息等，适配你们团队的安全规范。
• 跟踪安全趋势指标：在SonarQube仪表盘添加自定义小部件，统计「高风险安全漏洞修复率」「新增安全漏洞数量」「依赖漏洞占比」这些指标，长期跟踪项目的安全状态。
• 导入外部扫描结果：如果有动态安全扫描（比如Burp Suite）或基础设施漏洞扫描（比如Nessus）的结果，可以通过SonarQube的API把这些数据导入，实现全链路安全问题的统一可视化。

最后提醒下：安装插件后一定要重启SonarQube服务，并且更新项目的质量配置，确保新规则生效。另外，SonarQube 7.0的Java插件尽量用兼容版本的最新版，安全规则会持续更新。

内容的提问来源于stack exchange，提问作者Almendra Núñez Calderón