【项目实战】使用DevOps工具链SonarQube实现静态代码扫描，并且导出相应的报告

一、静态代码扫描 与 动态代码扫描的区别

静态代码扫描和动态代码扫描是两种不同的代码分析方法，它们都可以用于发现代码中的漏洞和错误。

下面是它们的区别：

1.1 静态代码扫描

静态代码扫描是一种分析源代码的方法，它不需要运行代码。
它通过检查代码中的语法、结构和规则来查找潜在的问题。
静态代码扫描可以自动化执行，并且可以在代码提交之前或在构建过程中进行。
它可以帮助开发人员发现代码中的潜在问题，并提供修复建议。

在Java中，可以使用静态代码分析工具，例如SonarQube、FindBugs或Checkstyle，来执行静态代码扫描。
这些工具可以检查代码中的常见问题，例如空指针引用、未使用的变量和不良的代码风格。

1.2 动态代码扫描

动态代码扫描是一种分析正在运行的代码的方法。
它通过模拟攻击来查找潜在的漏洞和错误。
动态代码扫描需要在运行时执行，并且可以帮助发现代码中的漏洞和安全问题。

在Java中，您可以使用动态代码分析工具，例如OWASP ZAP或Burp Suite，来执行动态代码扫描。
这些工具可以模拟攻击，并查找应用程序中的漏洞和安全问题。

1.3 注意事项

静态代码扫描和动态代码扫描都有其优点和缺点。