静态代码分析工具清单

SAST，即静态应用程序安全测试，通过静态代码分析工具对源代码进行自动化检测，从而快速发现源代码中的安全缺陷。

本文是一个静态源代码分析工具清单，收集了一些免费开源的项目，可从检测效率、支持的编程语言、第三方工具集成等几因素来综合考虑如何选择SAST工具。

---

1、RIPS

一款不错的静态源代码分析工具，主要用来挖掘PHP程序的漏洞。

项目地址：

http://rips-scanner.sourceforge.net

2、SonarQube

一款企业级源代码静态分析工具，支持Java、PHP、C#、Python、Go等27种编程语言，而且能够集成在IDE、Jenkins、Git等服务。

项目地址：

https://www.sonarqube.org

3、CodeQL

一个免费开源的语义代码分析引擎和查询工具，以一种非常新颖的方式组织代码与元数据，可以通过像SQL查询一样检索代码，并发现其中的安全问题。