有没同学安利一下漏洞扫描工具（最好广泛使用的，避坑）

java 有个 FindBugs 可以用，idea 上面有插件，可以搜索一下，排查一些代码漏洞

sqlmap 可以排查下 sql 注入的问题，不过要一个一个URL来测试。

也可以试试国人的项目 xray，直接输入 url 就可以傻瓜式扫描，另外云厂商一般也有提供基础的漏洞扫描服务，一些高级功能可能要付费。