如果您是软件开发人员或代码安全分析师，则通常需要分析源代码以检测安全漏洞并维护安全的质量代码。但是您的代码中可能存在许多难以手动发现的问题。毕竟，我们仍然是人类，因此即使是最高级的安全分析师也都会错过一些安全漏洞。我们提供了源代码分析工具来拯救我们，这是一个功能强大的工具，可以快速，自动地检查引擎盖下的所有内容，而无需执行代码，并且成为人眼的完美伴侣。
源代码分析工具也称为静态应用程序安全性测试工具或SAST工具，旨在向开发人员提供有关他们可能在代码中引入的问题的即时反馈，这与在软件开发生命周期中后期查找漏洞相比非常有用。循环(SDLC)。
从一开始就随着创建高质量安全代码的增加，出现了向采用这些工具的更大转变。如今，市场上没有大量可用的工具，但是对于初创公司和自由职业者来说，商业选择太昂贵了，但是请不要担心，这里列出了一些顶级的免费开源静态代码分析工具。
1. VisualCodeGrepper
VisualCodeGrepper是针对常用的最流行的编程语言的超快速且强大的源代码分析工具，全面的扫描工具，它是针对C，C ++，C#，VB，PHP，Java，PL / SQL和COBOL的自动化工具，可大大加快代码的速度通过识别不安全的代码来检查过程。它尝试在注释中查找可以指示代码损坏的短语，并通过统计数据和饼图提供详细的报告。它具有一些很棒的功能，这对进行代码分析的任何人都非常有用，尤其是在时间很昂贵的情况下：
- 使用此工具，您可以分析大多数现代和旧的流行编程语言，例如C，C ++，Java，PHP，COBOL等。只需指定用于正确识别和分析代码的语言即可。
- 您可以运行多个扫描操作，具体取决于项目的类型和复杂性。在可能的操作中，它可以帮助您触发代码的完整扫描过程，并且在此过程中，chard会立即弹出一个新窗口，其中显示每个组件以进行更好的分析。
- 为整个代码库提供一个漂亮的饼图，其中显示了代码，空格，注释和错误代码的相对比例。
- 显示了一个列表，以查看每个项目以及可能的错误，安全缺陷注释数，整个项目的百分比以及潜在的不安全标志和代码位。
- 执行许多复杂的检查，并允许您使用每种语言的配置文件添加要搜索的所有不良功能。
- 尝试在注释中找到可以指示代码损坏的一系列短语。
- 智能搜索以查找缓冲区溢出以及有符号或无符号比较。
2.RIPS
RIPS(增强编程安全性)是针对PHP，Java和Node.Js的语言特定的静态代码分析工具。它可以自动检测PHP和Java应用程序中的安全漏洞，是应用程序开发的理想选择。该工具支持所有主要的PHP和Java框架。它可以部署为自托管软件或用作云服务。具有SDLC集成和相关行业标准。除了RIPS之外，没有其他工具可以检测到最深层嵌套在代码内部的最复杂的安全错误，并且准确性极高，因此它是分析代码的理想选择。
- 使用本地安装进行本地代码扫描以保护代码隐私。还提供具有安全且高度可扩展的基于云的平台(SaaS)的在线扫描，而无需本地安装或维护开销。
- 无缝的全自动安全测试和代码漏洞报告。因此，在与构建工具集成之后，IDE和问题跟踪器以及任何其他自定义工具都可以带来自动化功能。
- 它跟踪您在整个开发生命周期中的应用程序进度，并立即发现代码中的风险和漏洞，以便您可以尽快解决问题，
- 此工具因其速度而非常受欢迎。即使在不到20分钟的时间内扫描了22亿行的巨大磁码，它也以闪电般的速度扫描您的代码。
- 在RISP分析引擎的帮助下，可以独立扫描多种编程语言，同时考虑语言的详细信息以进行最准确的分析。
- 通过一种非常独特的方法，该工具可以检测到一些其他扫描仪可能遗漏的安全漏洞。
3. Brakeman
它是一个免费的开放源代码漏洞扫描程序，专门为Ruby on Rails应用程序设计。它是一个静态代码分析器，可在开发过程中的任何阶段扫描Rails应用程序代码以发现安全问题。与许多其他Web安全扫描程序不同，此工具可以查看应用程序的源代码，因此无需设置整个应用程序堆栈即可使用它。扫描应用程序代码后，它将针对所有安全问题生成详细的报告。
- 无需任何必要的配置即可运行此工具。安装后，无需进行任何先期设置或配置。
- 在开发过程的任何阶段随时运行。只需使用新的rails生成一个新应用程序并立即检查，
- 提供对应用程序的更完整介绍。该分析仪可以在安全漏洞被利用之前识别出它们。
- 提供灵活的测试，每次执行的检查都是独立的，因此Barkman可以灵活地进行测试，
- 它比“黑匣子”网站扫描仪要快得多，甚至大型应用程序也可以在几分钟内被扫描。
4. Flawfinder
它是一个免费的简单程序，可以扫描C或C ++源代码，从而快速识别可能的安全漏洞并生成按风险级别排序的报告。它作为开源软件提供，对于在程序广泛发布之前快速发现并消除潜在的安全问题非常有用。它非常易于使用，并且经过专门设计，易于与python的pip一起安装，并附带一个简单的用户指南。它与Common Weakness Enumeration(CWE)兼容，并获得了CII最佳实践通过徽章。对于初学者来说非常有用，它对静态源代码分析工具进行了简单介绍。它设计为在Unix，Cygwin，基于Linux的系统和macOS上用作命令行工具，并且仅需要Python 2.7或Python 3。
- 容易安装，也容易使用。它是入门代码分析的理想工具。
- 它是具有OSI批准的许可证的免费开源软件，
- 即使您无法构建软件也能正常工作
- 它非常快，可以在相对较短的时间内检查较大的程序
- 它具有更高的命中密度(每千行源代码中的命中数)。
5.Bandit
这是一个免费工具，专门用于查找Python代码中的常见安全问题。它使用适当的插件处理每个文件，并在python代码中生成有关可能的安全性错误的详细报告。它是带有Apache License 2.0的开源软件。可以在开发过程中或之后使用此工具，以在将代码投入生产之前查找Python代码中的常见安全问题，或使用此工具来分析现有项目并查找可能的缺陷。
- 命令行界面可扫描您的python代码。
- 支持CSV，HTML或JSON文件。
- 允许指定基准报告的路径，以忽略您认为不是问题的已知漏洞。
- 使用预提交进行版本控制集成。
- 允许用户编写和注册检查和格式化程序的扩展名。
