源代码剖析工具也称为静态运用程序安全性测试工具或SAST工具，旨在向开拓职员供应有关他们可能在代码中引入的问题的即时反馈，这与在软件开拓生命周期中后期查找漏洞比较非常有用。循环（SDLC）。
从一开始就随着创建高质量安全代码的增加，涌现了向采取这些工具的更大转变。如今，市场上没有大量可用的工具，但是对付初创公司和自由职业者来说，商业选择太昂贵了，但是请不要担心，这里列出了一些顶级的免费开源静态代码剖析工具。
VisualCodeGrepper是针对常用的最盛行的编程措辞的超快速且强大的源代码剖析工具，全面的扫描工具，它是针对C，C ++，C＃，VB，PHP，Java，PL / SQL和COBOL的自动化工具，可大大加快代码的速率通过识别不屈安的代码来检讨过程。它考试测验在注释中查找可以指示代码破坏的短语，并通过统计数据和饼图供应详细的报告。它具有一些很棒的功能，这对进行代码剖析的任何人都非常有用，尤其是在韶光很昂贵的情形下：
利用此工具，您可以剖析大多数当代和旧的盛行编程措辞，例如C，C ++，Java，PHP，COBOL等。只需指定用于精确识别和剖析代码的措辞即可。您可以运行多个扫描操作，详细取决于项目的类型和繁芜性。在可能的操作中，它可以帮助您触发代码的完全扫描过程，并且在此过程中，chard会立即弹出一个新窗口，个中显示每个组件以进行更好的剖析。为全体代码库供应一个俊秀的饼图，个中显示了代码，空格，注释和缺点代码的相比拟例。显示了一个列表，以查看每个项目以及可能的缺点，安全毛病注释数，全体项目的百分比以及潜在的不屈安标志和代码位。实行许多繁芜的检讨，并许可您利用每种措辞的配置文件添加要搜索的所有不良功能。考试测验在注释中找到可以指示代码破坏的一系列短语。智能搜索以查找缓冲区溢出以及有符号或无符号比较。2.RIPS
RIPS（增强编程安全性）是针对PHP，Java和Node.Js的措辞特定的静态代码剖析工具。它可以自动检测PHP和Java运用程序中的安全漏洞，是运用程序开拓的空想选择。该工具支持所有紧张的PHP和Java框架。它可以支配为自托管软件或用作云做事。具有SDLC集成和干系行业标准。除了RIPS之外，没有其他工具可以检测到最深层嵌套在代码内部的最繁芜的安全缺点，并且准确性极高，因此它是剖析代码的空想选择。
利用本地安装进行本地代码扫描以保护代码隐私。还供应具有安全且高度可扩展的基于云的平台（SaaS）的在线扫描，而无需本地安装或掩护开销。无缝的全自动安全测试和代码漏洞报告。因此，在与构建工具集成之后，IDE和问题跟踪器以及任何其他自定义工具都可以带来自动化功能。它跟踪您在全体开拓生命周期中的运用程序进度，并立即创造代码中的风险和漏洞，以便您可以尽快办理问题，此工具因其速率而非常受欢迎。在不到20分钟的韶光内扫描了22亿行的巨大代码。在RISP剖析引擎的帮助下，可以独立扫描多种编程措辞，同时考虑措辞的详细信息以进行最准确的剖析。通过一种非常独特的方法，该工具可以检测到一些其他扫描仪可能遗漏的安全漏洞。3. Brakeman
它是一个免费的开放源代码漏洞扫描程序，专门为Ruby on Rails运用程序设计。它是一个静态代码剖析器，可在开拓过程中的任何阶段扫描Rails运用程序代码以创造安全问题。与许多其他Web安全扫描程序不同，此工具可以查看运用程序的源代码，因此无需设置全体运用程序堆栈即可利用它。扫描运用程序代码后，它将针对所有安全问题天生详细的报告。
无需任何必要的配置即可运行此工具。安装后，无需进行任何先期设置或配置。在开拓过程的任何阶段随时运行。只需利用新的rails天生一个新运用程序并立即检讨，供应对运用程序的更完全先容。该剖析仪可以在安全漏洞被利用之前识别出它们。供应灵巧的测试，每次实行的检讨都是独立的，因此Barkman可以灵巧地进行测试，它比“黑匣子”网站扫描仪要快得多，乃至大型运用程序也可以在几分钟内被扫描。4. Flawfinder
它是一个免费的大略程序，可以扫描C或C ++源代码，从而快速识别可能的安全漏洞并天生按风险级别排序的报告。它作为开源软件供应，对付在程序广泛发布之前快速创造并肃清潜在的安全问题非常有用。它非常易于利用，并且经由专门设计，易于与python的pip一起安装，并附带一个大略的用户指南。它与Common Weakness Enumeration（CWE）兼容，并得到了CII最佳实践通过徽章。对付初学者来说非常有用，它对静态源代码剖析工具进行了大略先容。它设计为在Unix，Cygwin，基于Linux的系统和macOS上用作命令行工具，并且仅须要Python 2.7或Python 3。
随意马虎安装，也随意马虎利用。它是入门代码剖析的空想工具。它是具有OSI批准的容许证的免费开源软件，纵然您无法构建软件也能正常事情它非常快，可以在相对较短的韶光内检讨较大的程序它具有更高的命中密度（每千行源代码中的命中数）。5.Bandit
这是一个免费工具，专门用于查找Python代码中的常见安全问题。它利用适当的插件处理每个文件，并在python代码中天生有关可能的安全性缺点的详细报告。它是带有Apache License 2.0的开源软件。可以在开拓过程中或之后利用此工具，以在将代码投入生产之前查找Python代码中的常见安全问题，或利用此工具来剖析现有项目并查找可能的毛病。
命令行界面可扫描您的python代码。支持CSV，HTML或JSON文件。许可指定基准报告的路径，以忽略您认为不是问题的已知漏洞。利用预提交进行版本掌握集成。许可用户编写和注册检讨和格式化程序的扩展名。
