Você pode usar o esaa-security

Ele faz análise no código e gera diversos relatórios.