总结一下，现在开发个微服务其实也不容易，
| 检查项 | 工具 | 类型 | 干什么 |
|---|---|---|---|
| Sonar 代码扫描 | SonarQube | 代码质量 + 轻量 SAST | 代码坏味道、重复代码、bug、简单安全漏洞；圈复杂度；接收 jacoco 覆盖率报告GitHub |
| Fortify 白盒扫描 | Micro‑Focus Fortify SCA | SAST 静态白盒安全扫描 | 深度数据流分析，找 SQL 注入、XSS、命令注入等高危自研代码漏洞；误报比 sonar 少，偏向安全审计 |
| BlackDuck 扫描 | Synopsys Black Duck | SCA 软件成分分析 | 扫描 pom/gradle 依赖，识别第三方 jar 包 CVE 漏洞、许可证风险、SBOM 物料清单；不扫自研业务代码漏洞Black Duck |
| SSDLC 一致性检查 | 企业自研 / 平台校验 | 流程合规校验 | 不是代码扫描工具；校验研发流程是否满足 SSDLC 安全开发生命周期规范：安全需求、威胁建模、评审记录、扫描报告是否齐全，流程是否闭环，用于合规审计 |
| JUnit 覆盖率 | JUnit+JaCoCo | 单元测试度量 | JUnit 写单元测试，JaCoCo 统计行 / 分支覆盖率 ；Sonar 读取 jacoco 报告做门禁；覆盖率只代表测试跑过多少代码，不代表测试写得对GitHub |