代码质量静态检测工具介绍

最新推荐文章于 2025-09-16 14:12:54 发布

原创

最新推荐文章于 2025-09-16 14:12:54 发布 · 937 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#java #编程语言

本文介绍了代码静态检测的重要性和应用，包括Fortify SCA、Checkmarx CxSuite、Coverity和源伞科技Pinpoint等工具。这些工具通过不同的分析技术检测源代码的安全隐患和质量问题。Fortify SCA支持多种语言但价格昂贵，Checkmarx CxSuite允许自定义规则但价格高，Coverity擅长二进制文件分析，而Pinpoint则以其强大的分析能力和亲民价格在国内市场占据领先地位。

代码静态检测

程序静态分析（Program Static Analysis）是指在不运行代码的方式下，通过词法分析、语法分析、控制流、数据流分析等技术对程序代码进行扫描，验证代码是否满足规范性、安全性、可靠性、可维护性等指标的一种代码分析技术。目前静态分析技术向模拟执行的技术发展以能够发现更多传统意义上动态测试才能发现的缺陷，例如符号执行、抽象解释、值依赖分析等等并采用数学约束求解工具进行路径约减或者可达性分析以减少误报增加效率。目前的静态分析工具，无论从科研角度还是实用性角度还有很大的提高余地，国际最好分析工具误报率在5-10%之间，能够报出的缺陷种类也仅有几百种。我国一些高校正在致力于在此方面的研究和开发（成果较突出的如香港科技大学、北京大学、清华大学等）。

工具介绍

1. Fortify SCA(Source Code Analysis)

Fortify Software公司是一家总部位于美国硅谷，致力于提供应用软件安全开发工具和管理方案的厂商。Fortify为应用软件开发组织、安全审计人员和应用安全管理人员提供工具并确立最佳的应用软件安全实践和策略，帮助他们在软件开发生命周期中花最少的时间和成本去识别和修复软件源代码中的安全隐患。 Fortify SCA是Fortify360产品套装中的一部分，它使用fortify公司特有的X-Tier Dataflow™ analysis技术去检测软件安全问题。

优点：全球最大的静态代码检测厂商，支持语言较多

缺点：价格太过昂贵，性价比不高

2. Checkmarx CxSuite

Checkmarx 是以色列的一家高科技软件公司。它的产品CheckmarxCxSuite专门设计为识别、跟踪和修复软件源代码上的技术和逻辑方面的安全风险。首创了以查询语言定位代码安全问题，其采用独特的词汇分析技术和CxQL专利查询技术来扫描和分析源代码中的安全漏洞和弱点。

优点：