静态代码分析 (SAST)

awarexone/agentic-bug-hunter

AI-powered bug bounty hunting toolkit that works with or without subscription.

semgrep/semgrep-rules

用于跨多种语言检测安全漏洞、危险代码模式和配置问题的静态分析规则包；可集成到 CI/CD 扫描工作流中。

securego/gosec

Go 安全检查器

bearer/bearer

代码安全扫描工具（SAST），用于发现、筛选并优先处理安全与隐私风险。

pycqa/bandit

Bandit 是一款用于发现 Python 代码中常见安全问题的工具。

checkmarx/kics

用于基础设施即代码的静态分析扫描工具，可检测Terraform、Kubernetes、CloudFormation以及20多个IaC平台中的安全漏洞、合规违规和错误配置。

sonarsource/sonarqube

代码质量与静态分析平台，具备质量门禁、多语言扫描以及以安全为核心的规则，可在CI/CD工作流中检测漏洞和可维护性问题。

webarx-security/wpbullet

面向WordPress（及PHP）的静态代码分析

redsection/jspanda

客户端原型污染漏洞扫描器

stackrox/kube-linter

KubeLinter 是一款静态分析工具，可检查 Kubernetes YAML 文件和 Helm charts，以确保其中描述的应用遵循最佳实践。

openai/codex-security

OpenAI 的 Codex Security CLI 和 TypeScript SDK，用于查找、验证和修复安全漏洞。npm: https://www.npmjs.com/package/@openai/codex-security

splx-ai/agentic-radar

用于你的 LLM 智能体工作流的安全扫描器

gmh5225/actions-secrets

添加此 GitHub Action 将扫描您的仓库，查找源代码中的敏感数据。我们会发现密码、服务器主机字符串、API 密钥、.env 和配置文件等内容。

david-a-wheeler/flawfinder

一个用于在 C/C++ 源代码中发现漏洞的静态分析工具

osmankandemir/static-code-analysis-helper

扫描涵盖16种语言的工程项目源代码，标记与SQLi、XSS、SSRF、命令注入、弱加密及其他Web攻击类别相关的危险函数。

nccgroup/secretscrub

处理来自静态分析工具的 SARIF 输出，以检测并移除源代码中硬编码的机密信息，生成不含原始机密信息的干净副本。