static-analysis

ENRE-cpp ⚠️ — ENRE (ENtity Relationship Extractor) è uno strumento per l'estrazione di dipendenze o relazioni tra entità del codice dal codice sorgente. ENRE-cpp è un estrattore di relazioni tra entità per C/C++ basato su @eclipse/CDT. (In sviluppo)

ESBMC — ESBMC è un model checker open source, con licenza permissiva, basato su satisfiability modulo theories e limitato dal contesto, per la verifica di programmi C/C++ single e multi-thread.

flawfinder — Trova possibili debolezze di sicurezza.

flint++ ⚠️ — Porting multipiattaforma e senza dipendenze di flint, un programma lint per C++ sviluppato e usato su Facebook.

Frama-C — Un analizzatore statico affidabile ed estensibile per il codice C.

GCC — Il compilatore GCC dispone di funzionalità di analisi statica dalla versione 10. Questa opzione è disponibile solo se GCC è stato configurato con il supporto dell'analizzatore abilitato. Può anche emettere le sue diagnostiche in un file JSON nel formato SARIF (dalla v13).

Goblint — Un analizzatore statico per l'analisi di programmi C multi-thread. Il suo obiettivo principale è il rilevamento delle race condition, ma segnala anche altri errori di run-time, come buffer overflow e dereferenziazioni di puntatori nulli.

Helix QAC ©️ — Analisi statica di livello enterprise per software embedded. Supporta gli standard di codifica MISRA, CERT e AUTOSAR.

IKOS — Un analizzatore statico affidabile per codice C/C++ basato su LLVM.

KLEE — Un motore di esecuzione simbolica dinamica costruito sull'infrastruttura del compilatore LLVM. Può generare automaticamente casi di test per i programmi in modo che questi esercitino quanto più possibile del programma.

LDRA ©️ — Una suite di strumenti che include analisi statica (TBVISION) secondo vari standard, tra cui MISRA C & C++, JSF++ AV, CWE, CERT C, CERT C++ e regole personalizzate.

MATE ⚠️ — Una suite di strumenti per l'analisi interattiva dei programmi, focalizzata sulla caccia ai bug nel codice C e C++. MATE unifica l'analisi delle vulnerabilità specifiche dell'applicazione e di basso livello usando i code property graph (CPG), consentendo di scoprire vulnerabilità altamente specifiche dell'applicazione che dipendono sia dai dettagli implementativi che dalla semantica di alto livello dei programmi C/C++ presi di mira.

PC-lint ©️ — Analisi statica per C/C++. Gira nativamente su Windows/Linux/MacOS. Analizza codice per praticamente qualsiasi piattaforma, supportando C11/C18 e C++17.

Phasar — Un framework di analisi statica basato su LLVM che include un'analisi taint e type state.

Polyspace Bug Finder ©️ — Identifica errori di run-time, problemi di concorrenza, vulnerabilità di sicurezza e altri difetti nel software embedded C e C++.

Polyspace Code Prover ©️ — Fornisce la verifica del codice che dimostra l'assenza di overflow, divisione per zero, accesso ad array fuori dai limiti e alcuni altri errori di run-time nel codice sorgente C e C++.

scan-build — Frontend per guidare il Clang Static Analyzer integrato in Clang tramite una build regolare.

splint — Checker statico di programmi assistito da annotazioni.

SVF — Uno strumento statico che consente un'analisi delle dipendenze interprocedurale scalabile e precisa per programmi C e C++.

TrustInSoft Analyzer ©️ — Rilevamento esaustivo degli errori di codifica e delle vulnerabilità di sicurezza associate. Include un rilevamento affidabile di comportamenti indefiniti (buffer overflow, accessi ad array fuori dai limiti, dereferenziazioni di puntatori nulli, use-after-free, divisioni per zero, accessi a memoria non inizializzata, overflow con segno, aritmetica dei puntatori non valida, ecc.), verifica del flusso di dati e del flusso di controllo, nonché verifica funzionale completa delle specifiche formali. Sono supportate tutte le versioni di C fino a C18 e di C++ fino a C++20. TrustInSoft Analyzer otterrà la qualificazione ISO 26262 nel Q2 2023 (TCL3). È incluso anche un checker MISRA C.

vera++ ⚠️ — Vera++ è uno strumento programmabile per la verifica, l'analisi e la trasformazione del codice sorgente C++.

SonarAnalyzer.CSharp — Questi analyzer Roslyn ti permettono di produrre Clean Code sicuro, affidabile e manutenibile, aiutandoti a trovare e correggere bug, vulnerabilità e code smell nel tuo codebase.

VSDiagnostics ⚠️ — Una raccolta di analizzatori statici basati su Roslyn che si integra con VS.

Wintellect.Analyzers — Analyzer diagnostici e correzioni di codice per la piattaforma del compilatore .NET ("Roslyn").

ESBMC — ESBMC è un model checker open source, con licenza permissiva, basato su satisfiability modulo theories e limitato dal contesto, per la verifica di programmi C/C++ single e multi-thread.

flawfinder — Trova possibili debolezze di sicurezza.

flint++ ⚠️ — Porting multipiattaforma e senza dipendenze di flint, un programma lint per C++ sviluppato e usato su Facebook.

GCC — Il compilatore GCC dispone di funzionalità di analisi statica dalla versione 10. Questa opzione è disponibile solo se GCC è stato configurato con il supporto dell'analizzatore abilitato. Può anche emettere le sue diagnostiche in un file JSON nel formato SARIF (dalla v13).

Helix QAC ©️ — Analisi statica di livello enterprise per software embedded. Supporta gli standard di codifica MISRA, CERT e AUTOSAR.

IKOS — Un analizzatore statico affidabile per codice C/C++ basato su LLVM.

KLEE — Un motore di esecuzione simbolica dinamica costruito sull'infrastruttura del compilatore LLVM. Può generare automaticamente casi di test per i programmi in modo che questi esercitino quanto più possibile del programma.

LDRA ©️ — Una suite di strumenti che include analisi statica (TBVISION) secondo vari standard, tra cui MISRA C & C++, JSF++ AV, CWE, CERT C, CERT C++ e regole personalizzate.

MATE ⚠️ — Una suite di strumenti per l'analisi interattiva dei programmi, focalizzata sulla caccia ai bug nel codice C e C++. MATE unifica l'analisi delle vulnerabilità specifiche dell'applicazione e di basso livello usando i code property graph (CPG), consentendo di scoprire vulnerabilità altamente specifiche dell'applicazione che dipendono sia dai dettagli implementativi che dalla semantica di alto livello dei programmi C/C++ presi di mira.

PC-lint ©️ — Analisi statica per C/C++. Gira nativamente su Windows/Linux/MacOS. Analizza codice per praticamente qualsiasi piattaforma, supportando C11/C18 e C++17.

Phasar — Un framework di analisi statica basato su LLVM che include un'analisi taint e type state.

Polyspace Bug Finder ©️ — Identifica errori di run-time, problemi di concorrenza, vulnerabilità di sicurezza e altri difetti nel software embedded C e C++.

Polyspace Code Prover ©️ — Fornisce la verifica del codice che dimostra l'assenza di overflow, divisione per zero, accesso ad array fuori dai limiti e alcuni altri errori di run-time nel codice sorgente C e C++.- scan-build — Frontend per guidare il Clang Static Analyzer integrato in Clang tramite una normale compilazione.

splint — Controllore statico di programmi assistito da annotazioni.

SVF — Uno strumento statico che consente un'analisi delle dipendenze interprocedurale scalabile e precisa per programmi C e C++.

TrustInSoft Analyzer ©️ — Rilevamento esaustivo di errori di codifica e delle relative vulnerabilità di sicurezza. Include un rilevamento corretto (sound) di comportamenti indefiniti (buffer overflow, accessi a array fuori dai limiti, dereferenziamenti di puntatori nulli, use-after-free, divisioni per zero, accessi a memoria non inizializzata, overflow con segno, aritmetica dei puntatori non valida, ecc.), verifica del flusso di dati e del flusso di controllo, nonché verifica funzionale completa delle specifiche formali. Sono supportate tutte le versioni di C fino alla C18 e di C++ fino alla C++20. TrustInSoft Analyzer otterrà la qualifica ISO 26262 nel Q2'2023 (TCL3). È incluso anche un checker MISRA C.

vera++ ⚠️ — Vera++ è uno strumento programmabile per la verifica, l'analisi e la trasformazione di codice sorgente C++.

go tool vet --shadow — Segnala variabili che potrebbero essere state oscurate (shadowed) involontariamente.

go vet — Esamina il codice sorgente Go e segnala costrutti sospetti.

go-consistent ⚠️ — Analizzatore che ti aiuta a rendere i tuoi programmi Go più coerenti.

go-critic — Linter per codice sorgente Go che mantiene controlli attualmente non implementati in altri linter.

go/ast — Il pacchetto ast dichiara i tipi utilizzati per rappresentare gli alberi sintattici per i pacchetti Go.

goast — Strumento di analisi statica basato su Go AST (Abstract Syntax Tree) con Rego.

gochecknoglobals ⚠️ — Verifica che non siano presenti variabili globali.

goconst — Trova stringhe ripetute che potrebbero essere sostituite da una costante.

gocyclo — Calcola la complessità ciclomatica delle funzioni nel codice sorgente Go.

gofmt -s — Verifica se il codice è formattato correttamente e non può essere ulteriormente semplificato.

gofumpt — Applica un formato più rigoroso di gofmt, pur essendo retrocompatibile. In altre parole, gofumpt accetta un sottoinsieme dei formati che gofmt accetta. Lo strumento è un fork di gofmt a partire da Go 1.19 e richiede Go 1.18 o successivo. Può essere usato come sostituto diretto per formattare il tuo codice Go e l'esecuzione di gofmt dopo gofumpt non dovrebbe produrre modifiche. gofumpt non aggiungerà mai regole in disaccordo con la formattazione di gofmt. Quindi estendiamo gofmt piuttosto che competere con esso.

goimports — Controlla import di pacchetti mancanti o non referenziati.

gokart — Analisi della sicurezza Golang con particolare attenzione alla minimizzazione dei falsi positivi. È in grado di tracciare l'origine di variabili e argomenti di funzione per determinare se le fonti di input sono sicure.

GolangCI-Lint — Esecutore rapido di linter per Go. Aggrega più linter Go e fornisce una configurazione, una cache e un formato di output unificati. Alternativa a Go Meta Linter.

golint — Stampa errori di stile di codifica nel codice sorgente Go.

goreporter — Esegue contemporaneamente molti linter e normalizza il loro output in un report.

goroutine-inspect — Uno strumento interattivo per analizzare il dump delle goroutine Golang.

gosec (gas) — Ispeziona il codice sorgente alla ricerca di problemi di sicurezza scansionando il Go AST.

gotype — Analisi sintattica e semantica simile al compilatore Go.

govulncheck — Govulncheck segnala le vulnerabilità note che interessano il codice Go. Utilizza l'analisi statica del codice sorgente o della tabella dei simboli di un binario per restringere i report solo a quelle che potrebbero colpire l'applicazione. Per impostazione predefinita, govulncheck effettua richieste al database delle vulnerabilità Go all'indirizzo https://vuln.go.dev. Le richieste al database delle vulnerabilità contengono solo percorsi di moduli, non codice o altre proprietà del tuo programma.

ineffassign — Rileva assegnazioni inefficaci nel codice Go.

interfacer ⚠️ — Suggerisci interfacce più ristrette che possono essere utilizzate.

lll — Segnala righe lunghe.

maligned ⚠️ — Rileva struct che occuperebbero meno memoria se i loro campi fossero ordinati.

misspell — Trova parole inglesi comunemente scritte in modo errato.

nakedret ⚠️ — Trova i naked return.

nargs — Trova argomenti inutilizzati nelle dichiarazioni di funzione.

OSV-Scanner — Scanner di vulnerabilità scritto in Go che utilizza i dati forniti da OSV.dev. Sviluppato da Google per scansionare le dipendenze in più linguaggi e gestori di pacchetti alla ricerca di vulnerabilità note. Supporta la scansione di container, la scansione delle licenze e la correzione guidata. Funziona con lockfile, SBOM e immagini container per identificare problemi di sicurezza.

prealloc — Trova dichiarazioni di slice che potrebbero potenzialmente essere preallocate.

Reviewdog — Uno strumento per pubblicare commenti di revisione da qualsiasi linter in qualsiasi servizio di hosting del codice.

revive — Linter veloce, configurabile, estensibile, flessibile e bello per Go. Sostituto diretto di golint.

safesql ⚠️ — Strumento di analisi statica per Golang che protegge dalle iniezioni SQL.

shisho ⚠️ — Un analizzatore statico di codice leggero progettato per sviluppatori e team di sicurezza. Ti consente di analizzare e trasformare il codice sorgente con un DSL intuitivo simile a sed, ma per il codice.

staticcheck — Analisi statica Go specializzata nel trovare bug, semplificare il codice e migliorare le prestazioni.

structcheck — Trova campi struct inutilizzati.

structslop — Analizzatore statico per Go che consiglia riorganizzazioni dei campi struct per garantire la massima efficienza di spazio/allocazione

test — Mostra la posizione dei fallimenti dei test dal modulo di test stdlib.

unconvert ⚠️ — Rileva conversioni di tipo ridondanti.

unparam — Trova parametri di funzione inutilizzati.

varcheck — Trova variabili globali e costanti inutilizzate.

wsl — Impone righe vuote nei punti giusti.

ENRE-java ⚠️ — ENRE (ENtity Relationship Extractor) è uno strumento per l'estrazione di dipendenze o relazioni tra entità del codice dal codice sorgente. ENRE-java è un ENtity Relationship Extractor per progetti Java basato su @Eclipse JDT/parser.

Error Prone — Cattura errori Java comuni come errori in fase di compilazione.

fb-contrib — Un plugin per FindBugs con rilevatori di bug aggiuntivi.

forbidden-apis — Rileva e vieta invocazioni di specifici metodi/classi/campi (come leggere da uno stream di testo senza charset). Compatibile con Maven/Gradle/Ant.

google-java-format — Riformatta il codice sorgente Java per conformarsi a Google Java Style

HuntBugs ⚠️ — Strumento di analisi statica del bytecode basato su Procyon Compiler Tools, pensato per sostituire FindBugs.

IntelliJ IDEA ©️ — Viene fornito con molte ispezioni per Java e Kotlin e include strumenti per refactoring, formattazione e altro.

JArchitect ©️ — Misura, interroga e visualizza il tuo codice ed evita problemi imprevisti, debito tecnico e complessità.

JBMC — Model checker bounded per Java (bytecode), verifica asserzioni definite dall'utente, asserzioni standard e diverse analisi di metriche di copertura.

JLiSA — Un analizzatore statico per Java basato su interpretazione astratta, costruito sul framework LiSA.

Mariana Trench — Il nostro strumento di analisi statica incentrato sulla sicurezza per applicazioni Android e Java. Mariana Trench analizza il bytecode Dalvik ed è progettato per essere eseguito rapidamente su codebase di grandi dimensioni (decine di milioni di righe di codice). Può trovare vulnerabilità man mano che il codice cambia, prima che venga integrato nel tuo repository.

NullAway — Checker di puntatori nulli basato sui tipi con basso overhead in fase di build; un plugin Error Prone.

OWASP Dependency Check ⚠️ — Verifica le dipendenze per vulnerabilità note e divulgate pubblicamente.

qulice — Combina alcuni strumenti di analisi statica (preconfigurati) (checkstyle, PMD, Findbugs, ...).

RefactorFirst — Identifica e assegna priorità a God Class e classi fortemente accoppiate (Highly Coupled) nei codebase Java che dovresti refactorare per primi.

Soot — Un framework per analizzare e trasformare applicazioni Java e Android.

Spoon — Spoon è una libreria di metaprogrammazione per analizzare e trasformare codice sorgente Java (incluse Java 9, 10, 11, 12, 13, 14). Analizza i file sorgente per costruire un AST ben progettato con una potente API di analisi e trasformazione. Può essere integrato in Maven e Gradle.

SpotBugs — SpotBugs è il successore di FindBugs. Uno strumento di analisi statica per cercare bug nel codice Java.- steady ⚠️ — Analizza le tue applicazioni Java alla ricerca di dipendenze open-source con vulnerabilità note, utilizzando sia l'analisi statica che i test per determinare il contesto e l'utilizzo del codice per una maggiore accuratezza.

Violations Lib — Libreria Java per il parsing di file di report da analisi statica del codice. Utilizzata da molti plugin Jenkins, Maven e Gradle.

NodeJSScan ⚠️ — Uno scanner statico di sicurezza per applicazioni Node.js basato su libsast e semgrep, che si basa sullo strumento CLI njsscan. Include un'interfaccia utente con vari dashboard sullo stato di sicurezza di un'applicazione.

plato ⚠️ — Visualizza la complessità del sorgente JavaScript.

Polymer-analyzer — Un framework di analisi statica per Web Components.

retire.js — Scanner che rileva l'uso di librerie JavaScript con vulnerabilità note.

RSLint ⚠️ — Un linter JavaScript (in lavorazione) scritto in Rust, progettato per essere il più veloce possibile, personalizzabile e facile da usare.

standard — Un modulo npm che verifica problemi di stile Javascript.

tern — Un analizzatore di codice JavaScript per un supporto linguistico profondo e multi-editor.

TypL ⚠️ — Con TypL, scrivi semplicemente JS completamente standard e lo strumento determina i tuoi tipi tramite una potente inferenza.

xo — Wrapper ESLint opinionato ma configurabile con molte funzionalità incluse. Impone codice rigoroso e leggibile.

yardstick ⚠️ — Metriche del codice Javascript.

parallel-lint — Questo strumento controlla la sintassi dei file PHP più velocemente del controllo seriale con un output più accattivante.

Parse — Uno scanner statico di sicurezza.

pdepend — Calcola metriche software come la complessità ciclomatica per codice PHP.

phan — Un moderno analizzatore statico di etsy.

PHP Architecture Tester — Strumento di test dell'architettura per PHP facile da usare.

PHP Assumptions — Controlla le assunzioni deboli.

PHP Coding Standards Fixer — Corregge il tuo codice secondo standard come PSR-1, PSR-2 e lo standard Symfony.

PHP Insights — Controlli immediati della qualità PHP dalla tua console. Analisi della qualità del codice e dello stile di codifica, oltre a una panoramica dell'architettura del codice e della sua complessità.

Php Inspections (EA Extended) — Un analizzatore statico del codice per PHP.

PHP Refactoring Browser — Aiuto per il refactoring.

PHP Semantic Versioning Checker — Suggerisce una versione successiva secondo il semantic versioning.

PHP-Parser — Un parser PHP scritto in PHP.

php-speller — Libreria di controllo ortografico per PHP.

PHP-Token-Reflection ⚠️ — Libreria che emula la reflection interna di PHP.

php7cc ⚠️ — Controllore di compatibilità con PHP 7.

php7mar ⚠️ — Aiuta gli sviluppatori a migrare rapidamente il proprio codice a PHP 7.

PHP_CodeSniffer ⚠️ — Rileva violazioni di un insieme definito di standard di codifica.

PHPArkitect — PHPArkitect ti aiuta a mantenere la tua codebase PHP coerente e solida, permettendoti di aggiungere alcuni controlli sui vincoli architetturali al tuo flusso di lavoro. Puoi esprimere il vincolo che desideri applicare in codice PHP semplice e leggibile.

phpca ⚠️ — Trova l'uso di estensioni non integrate.

phpcpd ⚠️ — Rilevatore di copia/incolla per codice PHP.

phpdcd ⚠️ — Rilevatore di codice morto (DCD) per codice PHP.

PhpDependencyAnalysis ⚠️ — Costruisce un grafo delle dipendenze per un progetto.

PhpDeprecationDetector ⚠️ — Analizzatore di codice PHP per cercare problemi con funzionalità deprecate nelle versioni più recenti dell'interprete. Trova oggetti rimossi (funzioni, variabili, costanti e direttive ini), funzionalità di funzioni deprecate e uso di nomi o trucchi vietati (ad esempio identificatori riservati nelle versioni più recenti).

phpdoc-to-typehint ⚠️ — Aggiunge type hint scalari e tipi di ritorno a progetti PHP esistenti utilizzando le annotazioni PHPDoc.

phpDocumentor — Analizza il codice sorgente PHP per generare documentazione.

phploc ⚠️ — Uno strumento per misurare rapidamente le dimensioni e analizzare la struttura di un progetto PHP.

PHPMD — Trova possibili bug nel tuo codice.

PhpMetrics — Calcola e visualizza varie metriche di qualità del codice.

phpmnd — Aiuta a rilevare i magic number.

PHPQA — Uno strumento per eseguire strumenti di QA (phploc, phpcpd, phpcs, pdepend, phpmd, phpmetrics).

phpqa - jakzal — Molti strumenti per l'analisi statica PHP in un unico container.

phpqa - jmolivas — Strumento CLI analizzatore tutto-in-uno PHPQA.

phpsa ⚠️ — Strumento di analisi statica per PHP.

PHPStan — Strumento di analisi statica PHP - scopri bug nel tuo codice senza eseguirlo!

Progpilot — Uno strumento di analisi statica per scopi di sicurezza.

Psalm — Strumento di analisi statica per trovare errori di tipo nelle applicazioni PHP.

Qafoo Quality Analyzer ⚠️ — Visualizza metriche e codice sorgente.

rector — Aggiornamenti istantanei e refactoring automatizzato di qualsiasi codice PHP 5.3+. Aggiorna il tuo codice per PHP 7.4, 8.0 e oltre. Rector promette un basso tasso di falsi positivi perché cerca pattern AST (albero sintattico astratto) definiti in modo ristretto. Il caso d'uso principale è affrontare il debito tecnico nel codice legacy e rimuovere il codice morto. Rector fornisce un insieme di regole speciali per Symfony, Doctrine, PHPUnit e molti altri.

Reflection — Libreria Reflection per eseguire analisi statica per progetti PHP

Symfony Insight ©️ — Rileva rischi per la sicurezza, trova bug e fornisce metriche utilizzabili per progetti PHP.

Tuli — Un motore di analisi statica.

twig-lint — twig-lint è uno strumento di lint per i tuoi file twig.

WAP — Strumento per rilevare e correggere vulnerabilità di validazione dell'input in applicazioni web PHP (4.0 o superiore) e prevede i falsi positivi combinando analisi statica e data mining.

Dlint — Uno strumento per garantire che il codice Python sia sicuro.

Dodgy — Dodgy è uno strumento molto semplice da eseguire sulla tua codebase per cercare valori dall'aspetto "losco". È una serie di semplici espressioni regolari progettate per rilevare cose come check-in accidentali di diff SCM o password e chiavi segrete hardcoded nei file.

ENRE-py ⚠️ — ENRE (ENtity Relationship Extractor) è uno strumento per l'estrazione di dipendenze o relazioni di entità di codice dal codice sorgente. ENRE-py è un estrattore di relazioni tra entità per Python basato sui Python Language Services della Standard Library.

fixit — Un framework per creare regole di lint e relative auto-correzioni per il codice sorgente.

flake8 — Un wrapper attorno a pyflakes, pycodestyle e mccabe.

flakeheaven — flakeheaven è un linter Python costruito attorno a flake8 per consentire una configurazione toml ereditabile e complessa.

Griffe — Firme per interi programmi Python. Estrai la struttura, l'ossatura, lo scheletro del tuo progetto per generare documentazione API o trovare modifiche breaking nella tua API.

InspectorTiger ⚠️ — IT, Inspector Tiger, è un moderno strumento/framework di revisione del codice Python. Viene fornito con una serie di handler predefiniti che ti avvisano su miglioramenti e possibili bug. Oltre a questi handler, puoi scrivere i tuoi o usarne di realizzati dalla community.

jedi — Libreria di autocompletamento/analisi statica per Python.

linty fresh — Analizza gli errori di lint e li segnala su Github come commenti su una pull request.

mbake — mbake è un formattatore e linter per Makefile. Ci sono voluti solo 50 anni!

mccabe ⚠️ — Controlla la complessità di McCabe.

multilint ⚠️ — Un wrapper attorno a flake8, isort e modernize.

mypy — Un controllore statico dei tipi che mira a combinare i vantaggi del duck typing e della tipizzazione statica, spesso usato con MonkeyType.

pip-audit — Strumento per scansionare i pacchetti Python alla ricerca di vulnerabilità note. Sviluppato dalla Python Packaging Authority (PyPA) e supportato da Trail of Bits e Google. Scansiona gli ambienti Python e i file dei requisiti per identificare pacchetti vulnerabili e suggerisce rimedi. Supporta GitHub Actions, hook pre-commit e molteplici integrazioni con servizi di vulnerabilità.

prospector — Un wrapper attorno a pylint, pep8, mccabe e altri.- py-find-injection ⚠️ — Trova le vulnerabilità di SQL injection nel codice Python.

pyanalyze — Uno strumento per rilevare programmaticamente errori comuni nel codice Python, come riferimenti a variabili non definite ed errori di tipo. Può essere esteso per aggiungere regole aggiuntive ed eseguire controlli specifici per determinate funzioni.

pycodestyle — (In precedenza pep8) Controlla il codice Python rispetto ad alcune delle convenzioni di stile in PEP 8.

pydocstyle ⚠️ — Controlla la conformità alle convenzioni delle docstring di Python.

pyflakes — Controlla i file sorgente Python alla ricerca di errori.

pylint — Cerca errori di programmazione, aiuta a far rispettare uno standard di codifica e individua alcuni code smell. Include inoltre pyreverse (un generatore di diagrammi UML) e symilar (un controllore di similarità).

pylyzers ⚠️ — Un analizzatore statico di codice / language server per Python, scritto in Rust, concentrato sul controllo dei tipi e su un output leggibile.

Pyra — Pyra è un analizzatore statico linter di alto livello per applicazioni di data science scritte in Python, che aiuta gli sviluppatori a identificare potenziali problemi nel loro codice di data science scritto in Python, come estensione di Lyra.

pyre-check ⚠️ — Un type checker veloce e scalabile per grandi codebase Python. Pyre-check è stato sostituito da Pyrefly, la sua iterazione successiva.

pyrefly — Un type checker veloce e incrementale e un language server per Python, che fornisce funzionalità IDE come navigazione del codice, evidenziazione semantica e completamento del codice.

pyright — Type checker statico per Python, creato per colmare le lacune degli strumenti esistenti come mypy.

pyroma — Valuta quanto un progetto Python sia conforme alle migliori pratiche dell'ecosistema di packaging Python e segnala i problemi che potrebbero essere migliorati.

Pysa — Uno strumento basato su pyre-check di Facebook per identificare potenziali problemi di sicurezza nel codice Python individuati tramite l'analisi del taint.

PyT - Python Taint ⚠️ — Uno strumento di analisi statica per rilevare vulnerabilità di sicurezza nelle applicazioni web Python.

pytype — Un analizzatore statico dei tipi per codice Python.

pyupgrade — Uno strumento (e hook pre-commit) per aggiornare automaticamente la sintassi alle versioni più recenti del linguaggio.

QuantifiedCode ⚠️ — Revisione e riparazione automatica del codice. Aiuta a tenere traccia di problemi e metriche nei tuoi progetti software e può essere facilmente esteso per supportare nuovi tipi di analisi.

radon ⚠️ — Uno strumento Python che calcola varie metriche dal codice sorgente.

refurb — Uno strumento per rinnovare e modernizzare le codebase Python. Refurb è fortemente ispirato a clippy, il linter integrato per Rust.

ruff — Linter Python veloce, scritto in Rust. Da 10 a 100 volte più veloce dei linter esistenti. Compatibile con Python 3.10. Supporta il file watcher.

Safety — Scanner di vulnerabilità delle dipendenze Python progettato per migliorare la sicurezza della supply chain del software rilevando pacchetti con vulnerabilità note. Verifica le dipendenze Python rispetto a un database di vulnerabilità di sicurezza note e fornisce report dettagliati. Supporta l'integrazione CI/CD e più formati di output.

ty — Un type checker Python estremamente veloce scritto in Rust.

unimport — Un linter e formatter per trovare e rimuovere istruzioni di import non utilizzate.

vulture — Trova classi, funzioni e variabili non utilizzate nel codice Python.

wemake-python-styleguide — Il linter Python più severo e opinionato di sempre.

wily — Uno strumento da riga di comando per archiviare, esplorare e visualizzare graficamente la complessità del codice sorgente Python.

xenon ⚠️ — Monitora la complessità del codice usando radon.

yapf ⚠️ — Un formatter per file Python creato da Google YAPF segue una metodologia distintiva, originata dallo strumento 'clang-format' creato da Daniel Jasper. In sostanza, il programma riformatta il codice nella formattazione più adatta che rispetta la guida di stile, anche se il codice originale segue già la guida di stile. Questo concetto è simile allo strumento 'gofmt' del linguaggio Go, che mira a porre fine ai dibattiti sulla formattazione facendo passare l'intera codebase di un progetto attraverso YAPF ogni volta che vengono apportate modifiche, mantenendo così uno stile coerente in tutto il progetto ed eliminando la necessità di discutere sullo stile in ogni revisione del codice.

Fukuzatsu — Uno strumento per misurare la complessità del codice nei file di classe Ruby. La sua analisi genera punteggi basati su algoritmi di complessità ciclomatica senza "opinioni" aggiunte.

htmlbeautifier — Un normalizzatore/abbellitore per HTML che comprende anche Ruby incorporato. Ideale per sistemare i template Rails.

laser ⚠️ — Analisi statica e linter di stile per codice Ruby.

MetricFu ⚠️ — MetricFu è un insieme di strumenti per fornire report che mostrano quali parti del tuo codice potrebbero richiedere lavoro extra.

pelusa — Strumento di analisi statica di tipo Lint per migliorare il tuo codice Ruby a oggetti.

quality ⚠️ — Esegue controlli di qualità sul tuo codice usando strumenti della community e garantisce che i tuoi numeri non peggiorino nel tempo.

Querly ⚠️ — Strumento di controllo basato su pattern per Ruby.

Railroader ⚠️ — Uno scanner open source di vulnerabilità di sicurezza tramite analisi statica per applicazioni Ruby on Rails.

rails_best_practices — Uno strumento di metriche del codice per progetti Rails

reek — Rilevatore di code smell per Ruby.

Roodi — Roodi sta per Ruby Object Oriented Design Inferometer. Analizza il tuo codice Ruby e ti avvisa dei problemi di progettazione che hai, in base ai controlli configurati.

RuboCop — Un analizzatore statico del codice Ruby, basato sulla guida di stile Ruby della community.

Rubrowser — Generatore interattivo di grafi delle dipendenze delle classi Ruby.

ruby-lint ⚠️ — Analisi statica del codice per Ruby.

rubycritic — Un reporter della qualità del codice Ruby.

rufo — Un formatter Ruby opinionato, pensato per essere usato da riga di comando come plugin per editor di testo, per autoformattare i file al salvataggio o su richiesta.

Saikuro ⚠️ — Un analizzatore della complessità ciclomatica per Ruby.

SandiMeter ⚠️ — Strumento di analisi statica per verificare il codice Ruby rispetto alle regole di Sandi Metz.

Skunk — Un calcolatore di SkunkScore per codice Ruby -- Trova il codice più complicato senza copertura dei test!

Sorbet — Un type checker veloce e potente progettato per Ruby.

Standard Ruby — Guida di stile Ruby, con linter e correzione automatica del codice

Steep — Tipizzazione graduale per Ruby.

Traceroute ⚠️ — Una gemma con task Rake che ti aiuta a trovare le route e le azioni del controller non utilizzate per la tua app Rails 3+.

cargo-show-asm — Subcomando cargo che mostra l'assembly, l'LLVM-IR e il MIR generati per il codice Rust

cargo-spellcheck — Controlla tutta la tua documentazione per errori di ortografia e grammatica con hunspell (pronto) e languagetool (anteprima)

cargo-unused-features ⚠️ — Trova i feature flag abilitati potenzialmente non utilizzati e rimuovili. Puoi generare un semplice report HTML dal json per facilitare l'ispezione dei risultati. Rimuove una feature di una dipendenza e poi compila il progetto per vedere se compila ancora. Se compila, il feature flag può probabilmente essere rimosso, ma potrebbe essere un falso positivo.

clippy — Un linter di codice per individuare errori comuni e migliorare il tuo codice Rust.

diff.rs — Applicazione web (WASM) per visualizzare un diff tra versioni di crate Rust.

dylint — Uno strumento per eseguire lint Rust da librerie dinamiche. Dylint rende facile per gli sviluppatori mantenere le proprie raccolte di lint personali.

electrolysis ⚠️ — Uno strumento per verificare formalmente programmi Rust tramite la transpilazione in definizioni nel prover di teoremi Lean.

herbie ⚠️ — Aggiunge avvisi o errori alla tua crate quando usi un'espressione in virgola mobile numericamente instabile.

kani — Il Kani Rust Verifier è un model checker bit-precise per Rust. Kani è particolarmente utile per verificare i blocchi di codice unsafe in Rust, dove i "superpoteri unsafe" non sono controllati dal compilatore. Kani verifica:

TangleGuard ©️ — Aiuta a comprendere e mantenere un'architettura software scalabile. Per farlo, genera un grafo interattivo e annidato delle dipendenze a partire dal codice sorgente. Puoi scegliere il livello di dettaglio e ottenere la porzione della tua codebase che conta per te.

warnalyzer ⚠️ — Mostra il codice non utilizzato da progetti Rust multi-crate

Better Code Hub ©️ — Better Code Hub verifica la tua codebase GitHub rispetto a 10 linee guida ingegneristiche elaborate dall'autorità nella qualità del software, Software Improvement Group.

Betterscan CE ⚠️ — Controlla codice e infrastruttura (supporta vari repository Git, stack cloud, CLI, piattaforma Web, integrazioni disponibili) per problemi di sicurezza e qualità. Code Scanning/SAST/Linting che utilizza molti strumenti/scanner deduplicati con un unico report (AI opzionale).

biome — Una toolchain per progetti web, pensata per fornire funzionalità di manutenzione. Biome formatta e fa il lint del codice in una frazione di secondo. È il successore di Rome. È progettato per sostituire eventualmente Biome è progettato per sostituire eventualmente Babel, ESLint, webpack, Prettier, Jest e altri.

BlockWatch — Un linter indipendente dal linguaggio che mantiene sincronizzati codice, documentazione e configurazione e applica regole rigorose di formattazione e validazione.

BugProve ⚠️ ©️ — BugProve è una piattaforma di analisi del firmware che combina tecniche di analisi statica e dinamica per scoprire corruzioni di memoria, injection di comandi e altre classi o debolezze comuni nel codice binario. Rileva anche dipendenze vulnerabili, parametri crittografici deboli, configurazioni errate e altro.

callGraph — Genera staticamente un'immagine del call graph e la visualizza sullo schermo.

CAST Highlight ©️ — Analisi statica del codice commerciale che viene eseguita localmente, ma carica i risultati sul proprio cloud per la presentazione.

Checkmarx CxSAST ©️ — Analisi statica del codice commerciale che non richiede pre-compilazione.

ClassGraph — Uno scanner per classpath e module path per interrogare o visualizzare i metadati delle classi o le correlazioni tra classi.

Clayton ©️ — Code review basate su IA per Salesforce. Proteggi i tuoi sviluppi, applica le best practice e controlla il tuo debito tecnico in tempo reale.

coala ⚠️ — Framework indipendente dal linguaggio per creare analisi del codice: supporta oltre 60 linguaggi per impostazione predefinita.

Cobra ©️ — Analizzatore strutturale del codice sorgente del Jet Propulsion Laboratory della NASA.

Codacy ©️ — Analisi del codice per rilasciare codice migliore, più velocemente.

Code Intelligence ©️ — Piattaforma DevSecOps indipendente da CI/CD che combina motori di fuzzing leader del settore per trovare bug e visualizzare la copertura del codice

Code Pathfinder — Analisi statica del codice open source per team di sicurezza con analisi del flusso di dati (taint analysis) tra file. Progettata per trovare vulnerabilità, ricerca strutturale avanzata, ricavare insight e supporta il server MCP.

Code-Graph-RAG — Costruisce grafi di conoscenza da codebase multi-linguaggio utilizzando il parsing AST di Tree-sitter e li memorizza in Memgraph. Supporta 11 linguaggi di programmazione con uno schema grafico unificato e consente interrogazioni in linguaggio naturale e la modifica di struttura del codice e relazioni. Funziona come server MCP per l'integrazione con assistenti IA.

Codeac ©️ — Strumento di code review automatizzata che si integra con GitHub, Bitbucket e GitLab (anche self-hosted). Disponibile per JavaScript, TypeScript, Python, Ruby, Go, PHP, Java, Docker e altro. (open source gratuito)

codeburner — Fornisce un'interfaccia unificata per ordinare e intervenire sui problemi che trova.

codechecker — Un database dei difetti e un'estensione viewer per il Clang Static Analyzer con GUI web.

CodeFactor ©️ — Analisi automatica del codice per repository su GitHub o BitBucket.

CodeFlow ©️ — Strumento di analisi automatica del codice per gestire il debito tecnico. Si integra con Bitbucket e GitLab. (gratuito per progetti open source)

Codemodder — Codemodder è un framework pluggable per creare codemod espressivi. Usa Codemodder quando ti serve qualcosa di più di un linter o di uno strumento di formattazione del codice. Usalo per correggere problemi di sicurezza non banali e altri problemi di qualità del codice.

codeql — Analisi approfondita del codice: query semantiche e dataflow per diversi linguaggi con supporto plugin VSCode.

CodeQue — Ecosistema per il matching strutturale di codice JavaScript e TypeScript. Offre uno strumento di ricerca che comprende la struttura del codice. Disponibile come strumento CLI ed estensione per Visual Studio Code. Aiuta a cercare codice più velocemente e con maggiore precisione, rendendo il tuo flusso di lavoro più efficace. Presto offrirà un plugin ESLint per creare le tue regole in pochi minuti per garantire la qualità della codebase.

CodeRush ©️ — Strumenti di creazione del codice, debug, navigazione, refactoring, analisi e visualizzazione che utilizzano il motore Roslyn in Visual Studio 2015 e versioni successive.

CodeScan ©️ — Qualità e sicurezza del codice per sviluppatori Salesforce. Realizzate esclusivamente per la piattaforma Salesforce, le soluzioni di analisi del codice di CodeScan ti offrono una visibilità totale sulla salute del tuo codice.

CodeScene ©️ — CodeScene è uno strumento di visualizzazione della qualità per il software. Dai priorità al debito tecnico, rileva i rischi di consegna e misura gli aspetti organizzativi. Completamente automatizzato.

CodeSee ©️ — CodeSee mappa e automatizza i servizi, le directory, le dipendenze tra file e le modifiche al codice della tua app. È come Google Maps, ma per il codice.t

CodeSonar from GrammaTech ©️ — Analisi statica avanzata, a livello di intero programma e di percorso profondo, di C, C++, Java e C# con spiegazioni facili da comprendere e visualizzazione di codice e percorsi.

Codety ⚠️ ©️ — Codety Scanner è uno scanner completo del codice sorgente che incorpora oltre 5000 regole di analisi statica del codice, progettate per rilevare problemi nel codice per oltre 20 linguaggi di programmazione e strumenti IaC.

Codiga ©️ — Piattaforma di code review automatizzate e gestione del debito tecnico che supporta oltre 12 linguaggi.

Corgea ©️ — Corgea è uno scanner SAST basato su IA che aiuta gli sviluppatori a trovare e correggere codice non sicuro. Trova difetti nella logica di business, autenticazioni non sicure, vulnerabilità API e altro con pochi falsi positivi. Inoltre, scrive automaticamente le correzioni di sicurezza da approvare. Corgea si integra con GitHub, GitLab, Azure DevOps, IDE e CLI. È gratuito da provare.

Corrode ⚠️ — Traduzione semi-automatica da C a Rust. Può rivelare bug nell'implementazione originale mostrando gli avvisi e gli errori del compilatore Rust. Sostituito da C2Rust.

Coverity ©️ — Synopsys Coverity supporta 20 linguaggi e oltre 70 framework, inclusi Ruby on Rails, Scala, PHP, Python, JavaScript, TypeScript, Java, Fortran, C, C++, C#, VB.NET.

cpp-linter-action — Una GitHub Action per il linting di codice C/C++ che integra clang-tidy e clang-format per raccogliere feedback forniti sotto forma di commenti e/o annotazioni nei thread.

cqc ⚠️ — Controlla la qualità del tuo codice per file js, jsx, vue, css, less, scss, sass e styl.

DeepCode ⚠️ ©️ — DeepCode è stata acquisita da Snyk ed è ora Snyk Code.

DeepSource ©️ — Analisi statica approfondita per trovare problemi in ambiti come rischi di bug, sicurezza, anti-pattern, prestazioni, documentazione e stile. Integrazioni native con GitHub, GitLab e Bitbucket. Meno del 5% di falsi positivi.

deleaker ©️ — Deleaker è uno strumento di rilevamento delle perdite di memoria per C++, .NET e Delphi, che si integra con Visual Studio, Qt Creator e RAD Studio o funziona come applicazione standalone. Aiuta gli sviluppatori a trovare e correggere in modo efficiente le perdite di memoria, GDI e handle.

Depends — Analizza le dipendenze complete degli elementi del codice per Java, C/C++, Ruby.

DerScanner ©️ — Piattaforma Static Application Security Testing (SAST) multi-linguaggio che rileva vulnerabilità critiche, inclusi segreti hardcoded, crittografia debole, backdoor, SQL injection, configurazioni non sicure, ecc.

DevSkim — Strumento di analisi statica basato su regex per Visual Studio, VS Code e Sublime Text - C/C++, C#, PHP, ASP, Python, Ruby, Java e altri.

diesel-guard — Linter per pattern di migrazione Postgres pericolosi in Diesel e SQLx. Previene i tempi di inattività causati da modifiche non sicure allo schema.

dotnet-format — Un formatter di codice per .NET. Le preferenze verranno lette da un file .editorconfig, se presente, altrimenti verrà utilizzato un set predefinito di preferenze. Al momento dotnet-format è in grado di formattare progetti C# e Visual Basic con un sottoinsieme delle opzioni .editorconfig supportate.

Embold ©️ — Piattaforma intelligente di analisi del software che identifica problemi di progettazione, problemi del codice, duplicazioni e metriche. Supporta Java, C, C++, C#, JavaScript, TypeScript, Python, Go, Kotlin e altro.

emerge ⚠️ — Emerge è un visualizzatore di codice sorgente e dipendenze che può essere utilizzato per raccogliere informazioni sulla struttura del codice sorgente, sulle metriche, sulle dipendenze e sulla complessità dei progetti software. Dopo aver scansionato il codice sorgente di un progetto, fornisce un'interfaccia web interattiva per esplorare e analizzare il progetto utilizzando strutture a grafo.

Enforster AI ©️ — Enforster AI esegue SAST contestuale per la sicurezza del codice, sfruttando LLM e intelligenza artificiale per ridurre e arricchire il rilevamento di difetti logici, segreti, fughe di dati, vulnerabilità della supply chain e tecniche.

ESLint — Un linter estensibile per JS, che segue lo standard ECMAScript.

ezno — Un compilatore JavaScript e type checker TypeScript scritto in Rust con un focus sull'analisi statica e sulle prestazioni a runtime. Il type checker di Ezno è costruito da zero. Il checker è completamente compatibile con le annotazioni di tipo TypeScript e può funzionare senza alcuna annotazione di tipo.

Find Security Bugs — Il plugin SpotBugs per audit di sicurezza di applicazioni web Java e applicazioni Android. (Funziona anche con progetti Kotlin, Groovy e Scala)- Fortify ©️ — Una piattaforma commerciale di analisi statica che supporta la scansione di C/C++, C#, VB.NET, VB6, ABAP/BSP, ActionScript, Apex, ASP.NET, Classic ASP, VB Script, Cobol, ColdFusion, HTML, Java, JS, JSP, MXML/Flex, Objective-C, PHP, PL/SQL, T-SQL, Python (2.6, 2.7), Ruby (1.9.3), Swift, Scala, VB e XML.

Freeplane Code Explorer — La modalità Code Explorer in Freeplane è progettata per analizzare la struttura e le dipendenze del codice compilato in file di classe JVM. Consente inoltre di visualizzare i risultati dei test ArchUnit direttamente in Freeplane, se Freeplane è in esecuzione e ArchUnit rileva violazioni delle regole durante i test.

Goodcheck — Linter personalizzabile basato su Regexp.

goone ⚠️ — Trova query N+1 (chiamate SQL in un ciclo for) nel codice Go.

graudit — Grep rough audit - strumento di audit del codice sorgente.

HCL AppScan Source ©️ — Analisi statica del codice commerciale.

Hopper ⚠️ — Uno strumento di analisi statica scritto in Scala per linguaggi che girano su JVM.

Hound CI — Commenta le violazioni di stile nelle pull request di GitHub. Supporta Coffeescript, Go, HAML, JavaScript, Ruby, SCSS e Swift.

imhotep ⚠️ — Commenta i commit che arrivano nel tuo repository e verifica errori sintattici e avvisi generali di lint.

include-gardener ⚠️ — Un analizzatore statico multi-linguaggio per C/C++/Obj-C/Python/Ruby per creare un grafo (in formato dot o graphml) che mostra tutte le relazioni #include di un dato insieme di file.

Infer — Un analizzatore statico per Java, C e Objective-C

Joern — Joern è una piattaforma per analizzare codice sorgente, bytecode ed eseguibili binari. Genera code property graph (CPG), una rappresentazione grafica del codice per l'analisi del codice tra linguaggi. I code property graph sono archiviati in un database grafico personalizzato. Ciò consente di estrarre informazioni dal codice utilizzando query di ricerca formulate in un linguaggio di query specifico del dominio basato su Scala. Joern è sviluppato con l'obiettivo di fornire uno strumento utile per la scoperta di vulnerabilità e la ricerca nell'analisi statica dei programmi.

jQAssistant — jQAssistant è una piattaforma di analisi software basata su plugin che consente di scansionare strutture di codice e metadati dai repository in un database grafico Neo4j. I dati raccolti possono essere utilizzati per esplorazioni ad-hoc tramite query, visualizzazione o definizione di regole per la validazione continua dell'architettura.

keploy — Keploy è una piattaforma di testing open-source che aiuta gli sviluppatori ad automatizzare e ottimizzare il loro processo di test. Fornisce agenti di test API e di integrazione, generando test, mock/stub per API che funzionano realmente. Inoltre, Keploy offre un agente di Unit Testing basato su IA che genera test unitari stabili e utili direttamente nelle tue PR GitHub e in VSCode, aiutando a individuare errori e migliorare la qualità del codice.

Kiuwan ©️ — Identifica e correggi le minacce informatiche in un ambiente collaborativo estremamente rapido, con un'integrazione perfetta nel tuo SDLC. Python, C\C++, Java, C#, PHP e altro.

Klocwork ©️ — Analisi statica di qualità e sicurezza per C/C++, Java e C#.

LangLint — Piattaforma di traduzione automatica per commenti nel codice e docstring in più di 20 tipi di file. Elimina le barriere linguistiche nella collaborazione software internazionale. Supporta oltre 100 coppie di lingue con protezione della sintassi. Si integra nei pipeline CI/CD come Ruff. Da 10 a 20 volte più veloce con elaborazione concorrente.

LGTM ©️ — Trova vulnerabilità di sicurezza, varianti e problemi critici di qualità del codice utilizzando query CodeQL sul codice sorgente. Revisione automatica del codice nelle PR; gratuito per l'open source. In precedenza noto come Semmle. Supporta repository Git pubblici ospitati su Bitbucket Cloud, GitHub.com, GitLab.com.

lizard — Lizard è un analizzatore estensibile della complessità ciclomatica per molti linguaggi di programmazione inclusi C/C++ (non richiede tutti i file header o gli import Java). Esegue anche il rilevamento di copia-incolla (rilevamento di cloni del codice/rilevamento di duplicati del codice) e molte altre forme di analisi statica del codice. Conta le righe di codice senza commenti, CCN (numero di complessità ciclomatica), il numero di token delle funzioni e il numero di parametri delle funzioni.

Mega-Linter — Mega-Linter può gestire qualsiasi tipo di progetto grazie ai suoi 70+ Linter integrati, i suoi report avanzati, eseguibile su qualsiasi sistema CI o localmente, con installazione e configurazione assistita, in grado di applicare formattazione e correzioni

Mobb ©️ — Mobb è un correttore di vulnerabilità automatico e affidabile che protegge le applicazioni, riduce i backlog di sicurezza, e libera gli sviluppatori per concentrarsi sull'innovazione. Mobb è gratuito per i progetti open-source.

MOPSA — Un analizzatore statico progettato per riutilizzare facilmente domini astratti tra linguaggi molto diversi (come C e Python).

Neurolint-CLI — Strumento di trasformazione del codice deterministico che utilizza il parsing AST e trasformazioni basate su regole. Corregge automaticamente oltre 50 problemi, incluse violazioni di accessibilità, errori di hydration, migrazioni React 19/Next.js 16 e aggiornamenti di configurazione. Dispone di un'orchestrazione fail-safe in 5 fasi per garantire zero modifiche che rompono il codice. Specializzato per progetti React, Next.js e TypeScript.

oclint — Uno strumento di analisi statica del codice sorgente per migliorare la qualità e ridurre i difetti per C, C++ e Objective-C.

Offensive 360 ©️ — Sistema commerciale di analisi statica del codice: non richiede la compilazione del codice sorgente né la pre-compilazione.

OpenRewrite — OpenRewrite corregge i comuni problemi di analisi statica segnalati tramite Sonar e altri strumenti usando un plugin Maven e Gradle o la CLI Moderne.

OpenStaticAnalyzer — OpenStaticAnalyzer è uno strumento di analisi del codice sorgente in grado di eseguire un'analisi statica approfondita del codice sorgente di sistemi complessi.

oxc — Oxidation Compiler sta creando una suite di strumenti ad alte prestazioni per il linguaggio JavaScript / TypeScript riscritto in Rust.

parasoft ©️ — Soluzioni automatizzate di test del software per test unitari, API e web UI. Conforme a MISRA, OWASP e altri.

pfff — Gli strumenti di Facebook per l'analisi del codice, la visualizzazione o la trasformazione del codice sorgente che preserva lo stile per molti linguaggi.

Pixee ©️ — Pixeebot trova problemi di sicurezza e qualità del codice nel tuo codice e crea pull request pronte per il merge con correzioni consigliate.

PMD — Un analizzatore di codice sorgente per Java, Salesforce Apex, Javascript, PLSQL, XML, XSL e altri.

pre-commit — Un framework per gestire e mantenere hook pre-commit multi-linguaggio.

Precaution — Precaution è uno strumento di sicurezza per l'analisi statica (SAST) progettato per trovare potenziali vulnerabilità critiche nel codice sorgente prima della produzione. È disponibile come CLI, GitHub Action e GitHub App.

Prettier — Un formattatore di codice opinionato.

Pronto — Revisione rapida e automatica del codice delle tue modifiche. Supporta più di 40 runner per vari linguaggi, inclusi Clang, Elixir, JavaScript, PHP, Ruby e altri.

PT.PM ⚠️ — Un motore per la ricerca di pattern nel codice sorgente, basato su Unified AST o UST. Attualmente sono supportati C#, Java, PHP, PL/SQL, T-SQL e JavaScript. I pattern possono essere descritti all'interno del codice o usando un DSL.

Putout — Trasformatore di codice configurabile e basato su plugin con supporto integrato per plugin eslint e babel per js, jsx typescript, flow, markdown, yaml e json.

PVS-Studio ©️ — Un'analisi statica del codice C, C++, C# e Java (gratuita in modo condizionato per FOSS e sviluppatori individuali). A scopo pubblicitario puoi proporre un grande progetto FOSS per l'analisi da parte dei dipendenti PVS. Supporta la mappatura CWE, gli standard di codifica OWASP ASVS, MISRA, AUTOSAR e SEI CERT.

pylama — Strumento di audit del codice per Python e JavaScript. Include pycodestyle, pydocstyle, PyFlakes, Mccabe, Pylint e altro

Qwiet AI ©️ — Identifica le vulnerabilità uniche del tuo codebase prima che raggiungano la produzione. Sfrutta il Code Property Graph (CPG) per eseguire le sue analisi in concomitanza in un unico grafo di grafi. Trova automaticamente difetti di logica di business in sviluppo come segreti hardcoded e logic bomb

Refactoring Essentials — L'estensione gratuita di Visual Studio 2015 per refactoring in C# e VB.NET, inclusi gli analizzatori di best practice del codice.

relint — Un linter statico per file che consente di scrivere regole personalizzate usando espressioni regolari (RegEx).

ReSharper ©️ — Estende Visual Studio con ispezioni del codice in tempo reale per C#, VB.NET, ASP.NET, JavaScript, TypeScript e altre tecnologie.

Rev-dep — Toolkit per l'analisi e l'ottimizzazione delle dipendenze per progetti JavaScript e TypeScript moderni. Traccia gli import, identifica le dipendenze circolari, trova codice inutilizzato, pulisci i moduli node.

RIPS ©️ — Un analizzatore statico del codice sorgente per vulnerabilità negli script PHP.

Roslyn Analyzers — Implementazione basata su Roslyn degli analizzatori FxCop.

Roslyn Security Guard — Progetto focalizzato sull'identificazione di potenziali vulnerabilità come SQL injection, cross-site scripting (XSS), CSRF, debolezze crittografiche, password hardcoded e molti altri.

SafeQL — Valida e genera automaticamente tipi TypeScript da query SQL grezze in PostgreSQL. SafeQL è un plugin ESLint per scrivere query SQL in modo type-safe.

SAST Online ©️ — Controlla a fondo il codice sorgente Android per scoprire e affrontare potenziali problemi e vulnerabilità di sicurezza. Strumento online di Static Application Security Testing (analisi statica del codice)

Scrutinizer ⚠️ ©️ — Un controllo qualità del codice proprietario che può essere integrato con GitHub.

Security Code Scan — Analizzatore di sicurezza del codice per C# e VB.NET. Rileva vari pattern di vulnerabilità di sicurezza: SQLi, XSS, CSRF, XXE, Open Redirect, ecc. Si integra in Visual Studio 2015 e versioni successive. Rileva vari pattern di vulnerabilità di sicurezza: SQLi, XSS, CSRF, XXE, Open Redirect, ecc.

Semgrep — Uno strumento di analisi statica veloce e open-source per trovare bug e applicare standard di codice in fase di editor, commit e CI. Le sue regole assomigliano al codice che già scrivi; niente alberi di sintassi astratti o lotte con le regex. Supporta oltre 17 linguaggi.

Semgrep Supply Chain ©️ — Trova e correggi rapidamente problemi di sicurezza ad alta priorità. Semgrep Supply Chain dà priorità al 2% delle vulnerabilità raggiungibili dal tuo codice.

Seqra — Analizzatore statico orientato alla sicurezza per applicazioni web Java e Kotlin. Analizza il bytecode con regole YAML in stile Semgrep e dataflow di livello CodeQL (con supporto Spring di prima classe) per trovare vulnerabilità che gli scanner basati solo sul codice sorgente non rilevano.

ShiftLeft Scan ⚠️ — Scan è una piattaforma DevSecOps gratuita e open-source per rilevare problemi di sicurezza nel codice sorgente e nelle dipendenze. Supporta un'ampia gamma di linguaggi e pipeline CI/CD. Nota: ShiftLeft è stato rinominato Qwiet AI nel 2023, successivamente acquisito da Harness a settembre 2025. Questo progetto open-source non è più mantenuto.

shipshape ⚠️ — Piattaforma di analisi statica dei programmi che consente l'integrazione di analizzatori personalizzati tramite un'interfaccia comune.

Sigrid ©️ — Sigrid ti aiuta a migliorare il tuo software misurando la qualità del codice del tuo sistema, e poi confronta i risultati con un benchmark di migliaia di sistemi di settore per darti consigli concreti sulle aree in cui puoi migliorare.

Similarity Tester — Uno strumento che trova somiglianze tra file o all'interno di essi per aiutarti a individuare violazioni del principio DRY.

Skylos — Rilevamento di codice morto, scansione di sicurezza, rilevamento di segreti e analisi della qualità del codice per Python, TypeScript e Go. Analisi consapevole dei framework con recall del 98%. Include GitHub Action per CI/CD, estensione VS Code e server MCP per l'integrazione con agenti IA.

Snyk Code ©️ — Snyk Code trova vulnerabilità di sicurezza basate sull'IA. La sua velocità di analisi ci consente di analizzare il tuo codice in tempo reale e fornire risultati quando premi il pulsante di salvataggio nel tuo IDE. I linguaggi supportati sono Java, JavaScript, Python, PHP, C#, Go e TypeScript. Integrazioni con GitHub, BitBucket e GitLab. È gratuito da provare e fa parte della piattaforma Snyk che copre anche SCA, container e IaC.

SonarQube Cloud ©️ — SonarQube Cloud consente al tuo team di fornire codice pulito in modo costante ed efficiente con uno strumento di code review che si integra facilmente nelle piattaforme DevOps cloud ed estende il tuo workflow CI/CD. SonarQube Cloud offre un piano gratuito.

SonarQube for IDE — SonarQube for IDE (precedentemente SonarLint) è un'estensione IDE gratuita disponibile per IntelliJ, VS Code, Visual Studio ed Eclipse, per trovare e correggere problemi di codice in tempo reale, segnalando i problemi mentre scrivi codice, proprio come un correttore ortografico. Più che un linter, fornisce anche una guida contestuale ricca per aiutare gli sviluppatori a capire perché c'è un problema, valutarne il rischio e imparare a risolverlo.

SonarQube Server — SonarQube fornisce ai team di sviluppo una soluzione di qualità del codice e sicurezza che si integra profondamente nell'ambiente aziendale; consentendoti di distribuire codice pulito in modo costante e affidabile. SonarQube offre una Community Build gratuita e open source.

Sonatype ©️ — Segnala vulnerabilità note nelle dipendenze comuni e raccomanda pacchetti aggiornati per ridurre al minimo le modifiche che rompono il codice

Soto Platform ©️ — Suite di strumenti di analisi statica composta dai tre componenti Sotoarc (Architecture Analysis), Sotograph (Quality Analysis) e Sotoreport (Quality report). Aiuta a trovare differenze tra architettura e implementazione, violazioni delle interfacce (ad es. accesso esterno a parti private dei sottosistemi, rilevamento di tutte le classi, file, package e sottosistemi fortemente accoppiati da relazioni cicliche e altro ancora. La famiglia di prodotti Sotograph è eseguibile su Windows e Linux.

SourceMeter ©️ — Analisi statica del codice per C/C++, Java, C#, Python e versioni RPG III e RPG IV (incluse quelle free-form).

sqlvet — Esegue analisi statica su query SQL grezze nel tuo codebase Go per far emergere potenziali errori a runtime. Controlla gli errori di sintassi SQL, identifica query non sicure che potrebbero portare a SQL injection, si assicura che il numero di colonne corrisponda al numero di valori nelle istruzioni INSERT e valida i nomi di tabelle e colonne.

StaticReviewer ©️ — Static Reviewer esegue controlli del codice secondo i più rilevanti Standard di Codifica Sicura, OWASP, CWE, CVE, CVSS, MISRA, CERT, per oltre 40 linguaggi di programmazione, utilizzando oltre 1000 regole di validazione integrate per Sicurezza, Deadcode e Best Practice. Disponibile un modulo per la Software Composition Analysis (SCA) per trovare vulnerabilità in librerie open source e di terze parti.

Super-Linter ⚠️ — Combinazione di più linter da installare come GitHub Action.

Svace ©️ — Strumento di analisi statica del codice per Java, C, C++, C#, Go.

Synopsys ©️ — Una piattaforma commerciale di analisi statica che consente la scansione di più linguaggi (C/C++, Android, C#, Java, JS, PHP, Python, Node.JS, Ruby, Fortran e Swift).

Teamscale ©️ — Strumento di analisi statica e dinamica che supporta più di 25 linguaggi e l'integrazione diretta con l'IDE. Hosting gratuito per progetti Open Source disponibile su richiesta. Licenze accademiche gratuite disponibili.

TencentCodeAnalysis ⚠️ — Tencent Cloud Code Analysis (TCA in breve, nome in codice CodeDog all'interno dell'azienda all'inizio) è una piattaforma completa per l'analisi del codice e il tracciamento dei problemi. TCA è composto da tre componenti: server, web e client. Integra una serie di strumenti sviluppati internamente e supporta anche l'integrazione dinamica di strumenti di analisi del codice in vari linguaggi di programmazione.

ThreatMapper — Scanner di vulnerabilità e valutazione del rischio per container, serverless e host a runtime. ThreatMapper genera BOM runtime da dipendenze e pacchetti del sistema operativo, li confronta con più feed di minacce, scansiona la presenza di segreti non protetti e valuta i problemi in base a gravità e rischio di sfruttamento.

todocheck — Linter per integrare TODO annotati con i tuoi issue tracker

trivy — Uno scanner di vulnerabilità semplice e completo per container e altri artefatti, adatto alla CI. Trivy rileva vulnerabilità nei pacchetti del sistema operativo (Alpine, RHEL, CentOS, ecc.) e nelle dipendenze delle applicazioni (Bundler, Composer, npm, yarn, ecc.). Controlla container e filesystem.

trunk ©️ — I repository moderni includono molte tecnologie, ciascuna con il proprio set di linter. Con 30+ linter e in continua crescita, Trunk rende estremamente semplice identificare, installare, configurare ed eseguire i giusti linter, analizzatori statici e formatter per tutti i tuoi repo.

TscanCode — Una soluzione di analisi statica rapida e accurata per codici C/C++, C#, Lua fornita da Tencent. Utilizza licenza GPLv3.

Undebt — Strumento indipendente dal linguaggio per refactoring massicci, automatici e programmabili basati su semplici definizioni di pattern.