sonar和sonarqube区别,sonarqube作用
sonarqube是哪个国家的
sonarqube是美国的。
SonarQube 最初是作为源代码质量分析工具诞生的，然后迅速成为最常用的 DevOps 工具之一，用于获取有关编码最佳实践、约定和代码性能的建议。
最近在 2018 年，添加了一些安全功能。随着时间的推移，由于应用程序安全测试 (AST) 工具的普遍采用以及对发布安全代码的重要性的更高认识，SonarQube作为安全工具的受欢迎程度也有所提高。SonarQube 是一个开源版本和几个商业产品，包括一个企业版本。
SonarQube 包含一组静态分析 (SAST)规则，用于查找应用程序代码中的安全漏洞，但SonarQube 不是专门为安全分析构建的解决方案。作为参考，在 600 多条 Java 规则中，不到 50 条规则被视为安全漏洞。
静态分析 (SAST) 的工作原理是查看应用程序的源代码并模拟应用程序的执行以查找可能表明存在安全风险的可疑模式。SonarQube 使用静态污点跟踪，这有助于发现一些比简单的正则表达式匹配更细微的风险，但众所周知会产生大量的误报，必须由专家手动验证才能对开发人员有所帮助。
一些高级静态数据流技术在开源版本中不可用，需要付费的企业许可证订阅。
Java开发工具哪个好
1.Eclipse
尽管IntelliJ IDEA、NetBeans和一些其他的IDE正在日益普及，但是有调查表明，Eclipse仍然是几乎半数Java开发人员首选的开发环境。 Eclipse是IDE领域的瑞士军刀，有着大量定制的接口和无数的插件。它无处不在，后面本文将推荐的其他所有工具都提供Eclipse插件。
Eclipse的工作流程可分为三个方面：工作台，工作空间和视角。工作台作为到IDE的出发点。工作空间将项目、文件和配置设置组合在一个单独的 目录下。视角定义工具、视图和有效设置。虽然新手开发人员可能会觉得相比Netbeans和IntelliJ IDEA，Eclipse使用起来更难，但Eclipse的灵活性，使其成为企业开发的首选IDE。
Luna，Eclipse的最新版本，支持Java 8、分屏编辑、新的黑色主题，以及一个功能齐全的命令行终端。
官方网站：
2.Gradle
Gradle是一个自动化项目工具，建立在Apache Maven和Apache Ant的功能上。虽然Gradle并不是最流行的构建工具（最流行的是Maven，64％的Java开发人员会选择它），但它的普及速度很快。它也可作为默认的Android构建工具。
Gradle引以为傲的是它的简单。Gradle使用Groovy编程语言，与Maven和Ant使用XML语法截然相反。一个基本的Gradle构建文件由一行简单的代码组成：
apply plugin: 'java'.
下面的命令会生成一个Gradle构建文件，创建项目文件的目录树，并附带一个项目便携式Gradle封装：
$ gradle init --type java-library
Gradle还有可用于添加新的语言，生成支持IDE的项目文件，构建本地二进制文档，检查依赖性更新等等的插件。
想要了解更多信息，请参见Gradle的Java / JVM入门指南。
官方网站：
3.Javadoc
Javadoc是Oracle提供的文档生成器。它可以将特殊格式的注释解析为HTML文档。以下截图就是Javadoc生成的Java SE 8 API规范：
Javadoc注释使用开放标签、关闭标签，以及一个或多个描述性标签的格式。开放式标签类似于标准Java多行注释标记，使用两个星号的除外。Javadoc也解析普通的HTML标签。
Javadoc自动格式化标签和关键字，除非另有规定。Javadoc广泛使用超链接，允许你参考和链接到代码的不同区域。许多IDE——包括 Eclipse——可以自动添加Javadoc注释模块到变量、类和方法中。支持Maven、Gradle和Ant的插件在编译代码的同时也可以构建 Javadoc HTML。
想要了解更多信息，请参阅Oracle关于如何为Javadoc工具写文档注释的文章。
官方网站：
4.JUnit
JUnit是用于编写和运行单元测试的开源框架。一个基本的JUnit测试包括测试类、测试方法、以及执行测试的功能。 JUnit使用标注来确定测试如何构造和运行。例如，如果你的程序有一个类叫做MathClass，具有乘法和除法的方法，你可以创建JUnit测试来检 查不符合预期的值。输入数字2和5到乘法方法，你希望得到的结果为10。当输入0作为除法方法的第二个参数时，你会期望给出一个数字计算异常的警告因为除 数不能为0：
@Test标注规定，MathClass方法是一个测试用例。 在JUnit提供额外的标注，比如@Before，这样你就可以在测试运行之前设置环境。 JUnit还可以设置规则用于定义测试方法的行为。例如，TemporaryFolder规则使得一旦测试完成，由测试创建的文件或文件夹就会被删除。
想要了解更多信息，请参考JUnit入门。 此外还有使用JUnit单元测试的教程。
官方网站：
5.Cobertura
Cobertura可用于分析Java代码的测试覆盖率。Cobertura根据没有被测试覆盖的代码生成基于HTML的报告。
Cobertura提供可用于插装、检查和测试代码的工具。通过监控可测试的代码，Cobertura允许你使用你选择的测试框架，甚至不需要测试框架就可以运行程序。
Cobertura根据行、分支和程序包三个方面给出代码覆盖报告。每个类别都有一个可自定义的阈值，如果覆盖面低于阈值，就会触发警告。Cobertura还集成了Maven和Gradle 的自动检测功能。
Mkyong.com提供了一个将Cobertura与Maven整合的示例。
官方网站：
6.FindBugs
FindBugs是一个匹配编译代码模式，而非使用bug数据库的工具。当提供源代码时，FindBugs还可高亮显示检测出bug的代码行。
在它的3.0.1版本中，FindBugs继续保持着数以百计的bug描述。根据bug的严重程度，FindBugs将bug分为四个水平：相关 的，令人困扰的，可怕的，以及最可怕的。除了图形用户界面，FindBugs还提供一个命令行界面，Ant任务，以及Eclipse插件。
官方网站：
7.VisualVM
包含在JDK中的VisualVM是监控和审查Java应用程序性能的工具。 VisualVM检测并重视活跃的JVM实例来检索有关进程的诊断信息。
VisualVM可以很容易地实时诊断性能问题。它提供了全套的分析工具，包括JConsole、jstack、jmap、jinfo和jstat等。此外，你还可以对JVM做一个快照，这样以后在任何时都能审查。
官方网站：
8.Groovy
Groovy是一种编程语言，通过添加新的关键字，自动导入常用的类，以及可选类型变量声明，既简化又扩展了Java。
Groovy的核心优势之一是它的脚本功能。类可以被编译为Java字节码或使用Groovy Shell动态执行。Groovy的Java基础使得它相较于Jython和JRuby更容易为Java开发人员所接受。
想要了解更多信息，请参见Groovy的入门指南。
官方网站：
sonarqube是用来做什么管理的
Sonar简介
Sonar是一个用于代码质量管理的开源，用于管理源代码的质量，可以从七个维度检测代码质量
通过插件形式，可以支持包括java,C#,C/C++,PL/SQL,Cobol,JavaScrip,Groovy等等二十几种编程语言的代码质量管理与检测
sonarQube能带来什么？
Developers' Seven Deadly Sins
糟糕的复杂度分布
文件、类、方法等，如果复杂度过高将难以改变，这会使得开发人员难以理解它们，
且如果没有自动化的单元测试，对于程序中的任何组件的改变都将可能导致需要全面的回归测试
2.重复
显然程序中包含大量复制粘贴的代码是质量低下的
sonar可以展示源码中重复严重的地方
3.缺乏单元测试
sonar可以很方便地统计并展示单元测试覆盖率
4.没有代码标准
sonar可以通过PMD,CheckStyle,Findbugs等等代码规则检测工具规范代码编写
5.没有足够的或者过多的注释
没有注释将使代码可读性变差，特别是当不可避免地出现人员变动时，程序的可读性将大幅下降
而过多的注释又会使得开发人员将精力过多地花费在阅读注释上，亦违背初衷
6.潜在的bug
sonar可以通过PMD,CheckStyle,Findbugs等等代码规则检测工具检测出潜在的bug