不支持|建议尝试的七大静态密码分析工具_七大|审查|代码|密码|问题|质量

文章图片

静态代码分析，或称为源代码分析，是一种将静态代码分析工具，以非运行的方式运用到软件源代码上，以审查其是否符合既定的编码标准，进而发现各种潜在漏洞的方法。通常，静态分析可以为我们带来如下好处：

在代码被执行之前，获取对其的深入洞见
与动态分析相比，静态分析的执行速度更快
可自动化维护代码的质量
能够在早期阶段自动搜索出部分错误(尽管不是全部)
可以在早期阶段自动发现各种安全问题

在实际运用中，您可以使用任何带有静态分析器的IDE(如：Pycharm使用的是pep8) ，来开展静态分析。下面，让我们一起来探讨一下，目前市场上七种领先的静态代码分析工具：
1.DeepSource
DeepSource可帮助您在代码审查期间，自动查找并修复代码中的各类问题。在使用过程中，它可以与用户的Bitbucket、GitHub或GitLab帐户相集成。该工具可以查找反模式(anti-patterns)、Bug风险、以及由性能引发的各种问题。同时， DeepSource还会生成并跟踪例如：依赖项数量、文档覆盖率等相关指标。
该分析器既可以运行在文件级别，在特定位置发现反模式;又可以运行在存储库级别，发现某些依赖项尚未安装等深层次问题。此外， DeepSource的Autofix还会为发现的问题提供修复建议，并根据更改建议创建拉取式请求。
主要特征

提供单个文件配置
对拉取式请求进行质量审查
能够覆盖广泛的问题
提供主动且可维护的分析器
可详细解析每个问题
可跟踪代码的各项指标
可通过自定义分析，选择性忽略某些问题
可针对常见问题提出修复建议，如适合，可根据更改建议创建拉取式请求
无需设置CI ，即可在每一次提交和拉取请求上，运行Black、YAPF、Go fmt等代码格式化文件。

缺点

不支持PHP语言

语言支持

支持Python、JavaScript、Go、Ruby、Java、Docker、TestIdentify
能够在每一次提交和拉取请求中覆盖SQL、Terraform、Shell

定价：

DeepSource免费提供给开源组织、学生组织、以及非营利组织使用。其付费计划从每用户、每月12美元起，具体请参见--https://deepsource.io/pricing/?utm_source=dzone 。

2.SonarQube
作为一种流行的静态分析工具， SonarQube可用于持续审查代码库中的代码质量和安全性，并在代码审查期间给予开发团队相应的指导。同时，它也可被用于带有CI/CD集成的自动化代码审查中。此外， SonarQube还通过提供质量管理工具，来主动协助IDE集成、Jenkins集成、持续集成服务器、以及确保代码查看工具的正确设置。
主要特征

支持多语言
提供安全分析
确保代码的发布质量
具有可维护性
可识别出较为棘手的问题

缺点

并非所有的IDE都能够支持SonarQube
无法为那些团队暂时绕开，或暂缓解决的问题提供忽略选项

语言支持

支持包括Java、C#、JavaScript、TypeScript、C/C ++、以及COBOL等25种以上的编程语言

定价：

SonarQube的社区版是免费和开源的。其商业版许可证的售价为120欧元起，具体请参见--https://www.sonarsource.com/plans-and-pricing/ 。

3.Codacy
Codacy是一种静态分析工具，可以帮助开发人员解决技术问题，并提高代码质量。 Codacy在每一次提交和PR(产品迭代)中监视代码质量。您可以用它来执行代码质量标准，执行安全性实践，并节省代码审查的时间。
主要特征

提供代码审查的自动化
提供代码质量分析
支持代码安全性分析
支持集群安装与多实例

缺点

缺乏与某些SaaS服务的集成，其中包括：Sonatype、Blackduck、AWS API网关的API QOS各项指标、以及UI/E2E的各种Saas测试服务
无法对项目的相关信息进行加密，或是限制对UI中的源代码进行访问
其拥有的社区相对较小

语言支持

支持包括Elixir、Go、Java、JavaScript、JSON、Kotlin、Python、Ruby、Scala、Swift、TypeScript等30多种语言。

定价：

Codacy具有免费的开源版本。其高级版本的起价为每用户、每月15美元，具体请参见--https://www.codacy.com/pricing 。

4.DeepScan
DeepScan是一款业界技术领先的静态分析工具。它能够方便开发人员查找运行时(runtime)中的各项错误与质量问题，而不仅仅停留在编码规则的层面上。通过将DeepScan与目标GitHub存储库的集成，您可以对自己项目的产品质量进行深入了解。
主要特征

错误追踪
自动化构建
代码审查
协作
持续集成

缺点

支持的编程语言较为有限

语言支持

能够支持JavaScript、TypeScript、React和Vue.js 。

定价：

DeepScan对于开源项目是免费的。其付费计划从每用户、每月9美元起，具体请参见--https://deepscan.io/pricing/ 。

【不支持|建议尝试的七大静态密码分析工具】5.Embold
作为一种通用的静态分析器， Embold既可帮助开发人员在那些关键代码问题出现在产品中之前，事先查找并定位它们，又能够针对应用程序，提供诊断、转换和运维等服务。
由于整合了AI和机器学习技术， Embold能够通过评级机制，对发现的问题提出最佳解决方案，并按需对应用进行重构。而且，它可运行在诸如DevOps技术栈、本地系统、私有云、以及公有云中。
主要特征

直观的用户界面
提供更加深入和快速的审查
增强的智能性能
提供无缝的集成

缺点

定价过高

语言支持

Java、C、C ++、C#、Objective-C、TypeScript、JavaScript、Python、PHP、Go、Kotlin、Solidity、SQL

定价：

Embold的基本版本是免费开源的。其高级版本的售价从每月10欧元起，具体请参见--https://embold.io/pricing-cloud 。

6.Veracode
Veracode是一款仅针对安全性问题的流行静态代码分析工具。它能够通过IDE扫描、管道(pipeline)扫描、以及策略扫描等方式，在整个管道中执行代码审查，以发现安全漏洞。通过创建对于代码的评估， Veracode能够被作为程序的一部分进行审计。
主要特征

提供编码时的安全性反馈
在管道中提供快速的运行成果
满足审计员的各项要求
分析的精度较高，无需额外调优
提供修复建议

缺点

不提供任何可自定义的扫描规则
UX(用户体验)不太好

语言支持
Java、.NET、JavaScript、Scala、Python、PHP、Ruby on Rails、ColdFusion、Swift、C/C ++、COBOL、Visual Basic 6、RPG等
定价：

Embold许可证的定价取决于目标项目的规模。您可以通过链接—https://info.veracode.com/request-quote.html ，获悉详细报价。

7.Reshift
Reshift是一个基于SaaS的软件平台。它可以无缝地被集成到软件开发的工作流程中。项目团队可以用它来加速交付流程，并确保持续部署过程中的安全性。 Reshift能够减少他们花费在查找与修复漏洞，识别数据泄露的潜在风险，以及协助软件产品合规性等方面的成本和时间。
主要特征

能够快速被设置
提供安全扫描

缺点

除Java之外，并不支持其他语言

语言支持

Java

定价：

Reshift的基本版本是免费开源的。其商业版的售价为每月99美元起，具体请参见--https://www.reshiftsecurity.com/pricing/ 。

不支持|建议尝试的七大静态密码分析工具

推荐阅读

经期孕酮正常值及平衡方法

吃蛋黄可缓解女性痛经

毒驾是否构成危险驾驶罪

怎么用手机qq邮箱发文件

“鸡尾酒”亦醉人亦伤身

养生常识晨起一杯水健康一整天

蛋挞皮怎么做简单做法蛋挞皮简单的做法是什么

男人刮胡子的最佳时间

香水的保质期的多长？香水的使用禁忌

从汕头到长沙需要怎么坐车

妈妈做给孩子吃的饭菜推荐宝宝爱吃的肉菜做法

oppo手机定位服务在哪里打开 oppo怎么打开定位服务

浪漫告白的经典情书短信句子

大姜种上二十天没出苗可以冲生根剂吗？

女朋友发说说

消化不良的典型症状是什么

小麦专用肥都有什么牌子种小麦复合肥用什么牌的

排球扣球要练多久

用荷花比喻人品的诗句

光滑岩石表面怎样浇筑混凝土