Какие SCA и Code Quality анализаторы для своего проекта посоветуете?

Question

[Вадим]

есть небольшой личный проект - преимущественно backend, но есть и frontend часть... Хочу поставить недорогой или бесплатный анализатор с проверкой качества кода (и отчетом по тест coverage, code smells и code security issues... а также, SCA - для vulnerabilities checks, для скажем 20 builds и deployments в день

Какие варианты посоветуете?

Comments

[Максим Федоров]

зависит от языка программирвоания, в каждом свои линтеры и стаанализторы

[Вадим]

а при чем тут линтеры, я же говорю для CI/CD pipelines, а не для локальной разработки

frontend - react/vue
backend - golang

[Василий Банников]

Вадим, линтеры можно и в ci/cd запускать. Если они ещё и в SARIF умеют экспортировать результат, то и отчёт будет хороший.

Answer 1

[Василий Банников]

тест coverage

Такой отчёт может CI/CD система выдавать, но для этого тестовый фреймворк должен ей эту информацию сообщий.
Это не статический анализ.
В случая голанга для этого используется go tool cover
Если используется гитлаб, то вот инструкция по настройке:
https://docs.gitlab.com/ee/ci/testing/test_coverag...

code smells и code security issues

Это точно умеет Sonarqube даже в бесплатной версии.
Можно ещё в ci добавить какой-нибудь dependabot или его подобие, который будет смотреть за устаревшими библиотеками. + npm audit

Comments

[Вадим]

Sonarqube даже в бесплатной версии - я так понимаю надо будет свой Sonarqube server поднимать и он уже будет давать отчеты по code coverage и SCA?

[Василий Банников]

Вадим, да

Answer 2

[Vitaly Karasik]

Добавлю к ответу Василий Банников
- да, SonarCloud на мой взгляд самый удобный
- я недавно познакомился с https://www.jit.io/. Очень интересный сервис - агрегатор open source security tools. Обещают добавлять новые tools. Не только static code scanning и не только код. Мне очень понравилось - https://www.linkedin.com/posts/vkarasik_devsecops-...

Comments

[Вадим]

как я понимаю jit работает только с GitHub actions? А если я использую, скажем TeamCIty или Jenkins?

[Vitaly Karasik]

Вадим, Да, я об этом забыл написать. Он сам генерирует нужные GitHub actions, что по-моему очень красиво. Но с TeamCIty или Jenkins это не получится.
Тогда самому интегрировать с SonarCloud\Qube, и что-то для SCA - например Snyk.