如果您是軟件開發(fā)人員或代碼安全分析師，則通常需要分析源代碼以檢測(cè)安全漏洞并維護(hù)安全的質(zhì)量代碼。但是您的代碼中可能存在許多難以手動(dòng)發(fā)現(xiàn)的問題。畢竟，我們?nèi)匀皇侨祟?，因此即使是最高?jí)的安全分析師也都會(huì)錯(cuò)過一些安全漏洞。我們提供了源代碼分析工具功能強(qiáng)大的工具，可以快速，自動(dòng)地檢查引擎蓋下的所有內(nèi)容，而無需執(zhí)行代碼，并且成為人眼的完美伴侶。

源代碼分析工具也稱為靜態(tài)應(yīng)用程序安全性測(cè)試工具或SAST工具，旨在向開發(fā)人員提供有關(guān)他們可能在代碼中引入的問題的即時(shí)反饋，這與在軟件開發(fā)生命周期中后期查找漏洞相比非常有用。循環(huán)（SDLC）。

從一開始就隨著創(chuàng)建高質(zhì)量安全代碼的增加，出現(xiàn)了向采用這些工具的更大轉(zhuǎn)變。如今，市場(chǎng)上沒有大量可用的工具，但是對(duì)于初創(chuàng)公司和自由職業(yè)者來說，商業(yè)選擇太昂貴了，但是請(qǐng)不要擔(dān)心，這里列出了一些頂級(jí)的免費(fèi)開源靜態(tài)代碼分析工具。

1. VisualCodeGrepper

VisualCodeGrepper是針對(duì)常用的最流行的編程語言的超快速且強(qiáng)大的源代碼分析工具，全面的掃描工具，它是針對(duì)C，C ++，C＃，VB，PHP，Java，PL / SQL和COBOL的自動(dòng)化工具，可大大加快代碼的速度通過識(shí)別不安全的代碼來檢查過程。它嘗試在注釋中查找可以指示代碼損壞的短語，并通過統(tǒng)計(jì)數(shù)據(jù)和餅圖提供詳細(xì)的報(bào)告。它具有一些很棒的功能，這對(duì)進(jìn)行代碼分析的任何人都非常有用，尤其是在時(shí)間很昂貴的情況下：

• 使用此工具，您可以分析大多數(shù)現(xiàn)代和舊的流行編程語言，例如C，C ++，Java，PHP，COBOL等。只需指定用于正確識(shí)別和分析代碼的語言即可。
• 您可以運(yùn)行多個(gè)掃描操作，具體取決于項(xiàng)目的類型和復(fù)雜性。在可能的操作中，它可以幫助您觸發(fā)代碼的完整掃描過程，并且在此過程中，chard會(huì)立即彈出一個(gè)新窗口，其中顯示每個(gè)組件以進(jìn)行更好的分析。
• 為整個(gè)代碼庫提供一個(gè)漂亮的餅圖，其中顯示了代碼，空格，注釋和錯(cuò)誤代碼的相對(duì)比例。
• 顯示了一個(gè)列表，以查看每個(gè)項(xiàng)目以及可能的錯(cuò)誤，安全缺陷注釋數(shù)，整個(gè)項(xiàng)目的百分比以及潛在的不安全標(biāo)志和代碼位。
• 執(zhí)行許多復(fù)雜的檢查，并允許您使用每種語言的配置文件添加要搜索的所有不良功能。
• 嘗試在注釋中找到可以指示代碼損壞的一系列短語。
• 智能搜索以查找緩沖區(qū)溢出以及有符號(hào)或無符號(hào)比較。

2.RIPS

RIPS（增強(qiáng)編程安全性）是針對(duì)PHP，Java和Node.Js的語言特定的靜態(tài)代碼分析工具。它可以自動(dòng)檢測(cè)PHP和Java應(yīng)用程序中的安全漏洞，是應(yīng)用程序開發(fā)的理想選擇。該工具支持所有主要的PHP和Java框架。它可以部署為自托管軟件或用作云服務(wù)。具有SDLC集成和相關(guān)行業(yè)標(biāo)準(zhǔn)。除了RIPS之外，沒有其他工具可以檢測(cè)到最深層嵌套在代碼內(nèi)部的最復(fù)雜的安全錯(cuò)誤，并且準(zhǔn)確性極高，因此它是分析代碼的理想選擇。

• 使用本地安裝進(jìn)行本地代碼掃描以保護(hù)代碼隱私。還提供具有安全且高度可擴(kuò)展的基于云的平臺(tái)（SaaS）的在線掃描，而無需本地安裝或維護(hù)開銷。
• 無縫的全自動(dòng)安全測(cè)試和代碼漏洞報(bào)告。因此，在與構(gòu)建工具集成之后，IDE和問題跟蹤器以及任何其他自定義工具都可以帶來自動(dòng)化功能。
• 它跟蹤您在整個(gè)開發(fā)生命周期中的應(yīng)用程序進(jìn)度，并立即發(fā)現(xiàn)代碼中的風(fēng)險(xiǎn)和漏洞，以便您可以盡快解決問題，
• 此工具因其速度而非常受歡迎。在不到20分鐘的時(shí)間內(nèi)掃描了22億行的巨大代碼。
• 在RISP分析引擎的幫助下，可以獨(dú)立掃描多種編程語言，同時(shí)考慮語言的詳細(xì)信息以進(jìn)行最準(zhǔn)確的分析。
• 通過一種非常獨(dú)特的方法，該工具可以檢測(cè)到一些其他掃描儀可能遺漏的安全漏洞。

3. Brakeman

它是一個(gè)免費(fèi)的開放源代碼漏洞掃描程序，專門為Ruby on Rails應(yīng)用程序設(shè)計(jì)。它是一個(gè)靜態(tài)代碼分析器，可在開發(fā)過程中的任何階段掃描Rails應(yīng)用程序代碼以發(fā)現(xiàn)安全問題。與許多其他Web安全掃描程序不同，此工具可以查看應(yīng)用程序的源代碼，因此無需設(shè)置整個(gè)應(yīng)用程序堆棧即可使用它。掃描應(yīng)用程序代碼后，它將針對(duì)所有安全問題生成詳細(xì)的報(bào)告。

• 無需任何必要的配置即可運(yùn)行此工具。安裝后，無需進(jìn)行任何先期設(shè)置或配置。
• 在開發(fā)過程的任何階段隨時(shí)運(yùn)行。只需使用新的rails生成一個(gè)新應(yīng)用程序并立即檢查，
• 提供對(duì)應(yīng)用程序的更完整介紹。該分析儀可以在安全漏洞被利用之前識(shí)別出它們。
• 提供靈活的測(cè)試，每次執(zhí)行的檢查都是獨(dú)立的，因此Barkman可以靈活地進(jìn)行測(cè)試，
• 它比“黑匣子”網(wǎng)站掃描儀要快得多，甚至大型應(yīng)用程序也可以在幾分鐘內(nèi)被掃描。

4. Flawfinder

它是一個(gè)免費(fèi)的簡(jiǎn)單程序，可以掃描C或C ++源代碼，從而快速識(shí)別可能的安全漏洞并生成按風(fēng)險(xiǎn)級(jí)別排序的報(bào)告。它作為開源軟件提供，對(duì)于在程序廣泛發(fā)布之前快速發(fā)現(xiàn)并消除潛在的安全問題非常有用。它非常易于使用，并且經(jīng)過專門設(shè)計(jì)，易于與python的pip一起安裝，并附帶一個(gè)簡(jiǎn)單的用戶指南。它與Common Weakness Enumeration（CWE）兼容，并獲得了CII最佳實(shí)踐通過徽章。對(duì)于初學(xué)者來說非常有用，它對(duì)靜態(tài)源代碼分析工具進(jìn)行了簡(jiǎn)單介紹。它設(shè)計(jì)為在Unix，Cygwin，基于Linux的系統(tǒng)和macOS上用作命令行工具，并且僅需要Python 2.7或Python 3。

• 容易安裝，也容易使用。它是入門代碼分析的理想工具。
• 它是具有OSI批準(zhǔn)的許可證的免費(fèi)開源軟件，
• 即使您無法構(gòu)建軟件也能正常工作
• 它非?？?，可以在相對(duì)較短的時(shí)間內(nèi)檢查較大的程序
• 它具有更高的命中密度（每千行源代碼中的命中數(shù)）。

5.Bandit

這是一個(gè)免費(fèi)工具，專門用于查找Python代碼中的常見安全問題。它使用適當(dāng)?shù)牟寮幚砻總€(gè)文件，并在python代碼中生成有關(guān)可能的安全性錯(cuò)誤的詳細(xì)報(bào)告。它是帶有Apache License 2.0的開源軟件?？梢栽陂_發(fā)過程中或之后使用此工具，以在將代碼投入生產(chǎn)之前查找Python代碼中的常見安全問題，或使用此工具來分析現(xiàn)有項(xiàng)目并查找可能的缺陷。

• 命令行界面可掃描您的python代碼。
• 支持CSV，HTML或JSON文件。
• 允許指定基準(zhǔn)報(bào)告的路徑，以忽略您認(rèn)為不是問題的已知漏洞。
• 使用預(yù)提交進(jìn)行版本控制集成。
• 允許用戶編寫和注冊(cè)檢查和格式化程序的擴(kuò)展名。

我個(gè)人比較喜歡用百度統(tǒng)計(jì)吧，目前國(guó)內(nèi)唯一免費(fèi)最好用的了。