建议尝试的七大静态密码分析工具

【51CTO.com快译】静态代码分析，或称为源代码分析，是一种将静态代码分析工具，以非运行的方式运用到软件源代码上，以审查其是否符合既定的编码标准，进而发现各种潜在漏洞的方法。通常，静态分析可以为我们带来如下好处：

• 在代码被执行之前，获取对其的深入洞见
• 与动态分析相比，静态分析的执行速度更快
• 可自动化维护代码的质量
• 能够在早期阶段自动搜索出部分错误(尽管不是全部)
• 可以在早期阶段自动发现各种安全问题

在实际运用中，您可以使用任何带有静态分析器的IDE(如：Pycharm使用的是pep8)，来开展静态分析。下面，让我们一起来探讨一下，目前市场上七种领先的静态代码分析工具：

1.DeepSource

DeepSource可帮助您在代码审查期间，自动查找并修复代码中的各类问题。在使用过程中，它可以与用户的Bitbucket、GitHub或GitLab帐户相集成。该工具可以查找反模式(anti-patterns)、Bug风险、以及由性能引发的各种问题。同时，DeepSource还会生成并跟踪例如：依赖项数量、文档覆盖率等相关指标。

该分析器既可以运行在文件级别，在特定位置发现反模式;又可以运行在存储库级别，发现某些依赖项尚未安装等深层次问题。此外，DeepSource的Autofix还会为发现的问题提供修复建议，并根据更改建议创建拉取式请求。

主要特征

• 提供单个文件配置
• 对拉取式请求进行质量审查
• 能够覆盖广泛的问题
• 提供主动且可维护的分析器
• 可详细解析每个问题
• 可跟踪代码的各项指标
• 可通过自定义分析，选择性忽略某些问题
• 可针对常见问题提出修复建议，如适合，可根据更改建议创建拉取式请求
• 无需设置CI，即可在每一次提交和拉取请求上，运行Black、YAPF、Go fmt等代码格式化文件。

缺点

• 不支持PHP语言

语言支持

• 支持Python、JavaScript、Go、Ruby、Java、Docker、TestIdentify
• 能够在每一次提交和拉取请求中覆盖SQL、Terraform、Shell

定价：

• DeepSource免费提供给开源组织、学生组织、以及非营利组织使用。其付费计划从每用户、每月12美元起，具体请参见--https://deepsource.io/pricing/?utm_source=dzone。

2.SonarQube

作为一种流行的静态分析工具，SonarQube可用于持续审查代码库中的代码质量和安全性，并在代码审查期间给予开发团队相应的指导。同时，它也可被用于带有CI/CD集成的自动化代码审查中。此外，SonarQube还通过提供质量管理工具，来主动协助IDE集成、Jenkins集成、持续集成服务器、以及确保代码查看工具的正确设置。

主要特征

• 支持多语言
• 提供安全分析
• 确保代码的发布质量
• 具有可维护性
• 可识别出较为棘手的问题

缺点

• 并非所有的IDE都能够支持SonarQube
• 无法为那些团队暂时绕开，或暂缓解决的问题提供忽略选项

语言支持

• 支持包括Java、C#、JavaScript、TypeScript、C/C ++、以及COBOL等25种以上的编程语言

定价：

• SonarQube的社区版是免费和开源的。其商业版许可证的售价为120欧元起，具体请参见--https://www.sonarsource.com/plans-and-pricing/。

3.Codacy

Codacy是一种静态分析工具，可以帮助开发人员解决技术问题，并提高代码质量。Codacy在每一次提交和PR(产品迭代)中监视代码质量。您可以用它来执行代码质量标准，执行安全性实践，并节省代码审查的时间。

主要特征

• 提供代码审查的自动化
• 提供代码质量分析
• 支持代码安全性分析
• 支持集群安装与多实例

缺点

• 缺乏与某些SaaS服务的集成，其中包括：Sonatype、Blackduck、AWS API网关的API QOS各项指标、以及UI/E2E的各种Saas测试服务
• 无法对项目的相关信息进行加密，或是限制对UI中的源代码进行访问
• 其拥有的社区相对较小

语言支持

• 支持包括Elixir、Go、Java、JavaScript、JSON、Kotlin、Python、Ruby、Scala、Swift、TypeScript等30多种语言。

定价：

• Codacy具有免费的开源版本。其高级版本的起价为每用户、每月15美元，具体请参见--https://www.codacy.com/pricing。

4.DeepScan

DeepScan是一款业界技术领先的静态分析工具。它能够方便开发人员查找运行时(runtime)中的各项错误与质量问题，而不仅仅停留在编码规则的层面上。通过将DeepScan与目标GitHub存储库的集成，您可以对自己项目的产品质量进行深入了解。

主要特征

• 错误追踪
• 自动化构建
• 代码审查
• 协作
• 持续集成

缺点

• 支持的编程语言较为有限

语言支持

• 能够支持JavaScript、TypeScript、React和Vue.js。

定价：

• DeepScan对于开源项目是免费的。其付费计划从每用户、每月9美元起，具体请参见--https://deepscan.io/pricing/。

5.Embold

作为一种通用的静态分析器，Embold既可帮助开发人员在那些关键代码问题出现在产品中之前，事先查找并定位它们，又能够针对应用程序，提供诊断、转换和运维等服务。

由于整合了AI和机器学习技术，Embold能够通过评级机制，对发现的问题提出最佳解决方案，并按需对应用进行重构。而且，它可运行在诸如DevOps技术栈、本地系统、私有云、以及公有云中。

主要特征

• 直观的用户界面
• 提供更加深入和快速的审查
• 增强的智能性能
• 提供无缝的集成

缺点

• 定价过高

语言支持

• Java、C、C ++、C#、Objective-C、TypeScript、JavaScript、Python、PHP、Go、Kotlin、Solidity、SQL

定价：

• Embold的基本版本是免费开源的。其高级版本的售价从每月10欧元起，具体请参见--https://embold.io/pricing-cloud。

6.Veracode

Veracode是一款仅针对安全性问题的流行静态代码分析工具。它能够通过IDE扫描、管道(pipeline)扫描、以及策略扫描等方式，在整个管道中执行代码审查，以发现安全漏洞。通过创建对于代码的评估，Veracode能够被作为程序的一部分进行审计。

主要特征

• 提供编码时的安全性反馈
• 在管道中提供快速的运行成果
• 满足审计员的各项要求
• 分析的精度较高，无需额外调优
• 提供修复建议

缺点

• 不提供任何可自定义的扫描规则
• UX(用户体验)不太好

语言支持

Java、.NET、JavaScript、Scala、Python、PHP、Ruby on Rails、ColdFusion、Swift、C/C ++、COBOL、Visual Basic 6、RPG等

定价：

• Embold许可证的定价取决于目标项目的规模。您可以通过链接—https://info.veracode.com/request-quote.html，获悉详细报价。

7.Reshift

Reshift是一个基于SaaS的软件平台。它可以无缝地被集成到软件开发的工作流程中。项目团队可以用它来加速交付流程，并确保持续部署过程中的安全性。Reshift能够减少他们花费在查找与修复漏洞，识别数据泄露的潜在风险，以及协助软件产品合规性等方面的成本和时间。

主要特征

• 能够快速被设置
• 提供安全扫描

缺点

• 除Java之外，并不支持其他语言

语言支持

• Java

定价：

• Reshift的基本版本是免费开源的。其商业版的售价为每月99美元起，具体请参见--https://www.reshiftsecurity.com/pricing/。

原文标题：Top 7 Static Code Analysis Tools，作者：Saif Sadiq

【51CTO译稿，合作站点转载请注明原文译者和出处为51CTO.com】

本文转载自网络，原文链接：http://www.51cto.com
本站部分内容转载于网络，版权归原作者所有，转载之目的在于传播更多优秀技术内容，如有侵权请联系QQ/微信：153890879删除，谢谢！