工具

analysis-tools-dev/static-analysis

Curated directory of static analysis (SAST) tools and linters for programming languages, configs, build tools, and CI, focused on improving code…

facebook/infer

一个用于 Java、C、C++ 和 Objective-C 的静态分析器

semgrep/semgrep

轻量级多语言静态分析。通过类似源代码的模式查找Bug变种。

github/codeql

CodeQL：为全球安全研究人员提供支持，以及GitHub高级安全中代码扫描功能的库和查询。

phpstan/phpstan

PHP静态分析工具 - 在不运行代码的情况下发现代码中的bug！

sonarsource/sonarqube

代码质量与静态分析平台，具备质量门禁、多语言扫描以及以安全为核心的规则，可在CI/CD工作流中检测漏洞和可维护性问题。

bridgecrewio/checkov

基础设施即代码的静态分析工具，可在构建时检测跨Terraform、Kubernetes、CloudFormation和容器镜像的云配置错误、漏洞和机密信息。

openai/codex-security

OpenAI's Codex Security CLI and TypeScript SDK for finding, validating, and fixing security vulnerabilities. npm:…

pycqa/bandit

Bandit 是一款用于发现 Python 代码中常见安全问题的工具。

securego/gosec

Go 安全检查器

pmd/pmd

一个可扩展的多语言静态代码分析器。

awarexone/agentic-bug-hunter

AI-powered bug bounty hunting toolkit that works with or without subscription.

zrax/pycdc

C++ Python字节码反汇编器和反编译器

lirantal/awesome-nodejs-security

Curated directory of Node.js security tools, static analyzers, vulnerability scanners, and educational resources covering OWASP Top 10, supply chain…

gadievron/raptor

Autonomous security research framework integrating static analysis, binary analysis, fuzzing, LLM-powered vulnerability validation, exploit…

semgrep/semgrep-rules

用于跨多种语言检测安全漏洞、危险代码模式和配置问题的静态分析规则包；可集成到 CI/CD 扫描工作流中。

stackrox/kube-linter

KubeLinter 是一款静态分析工具，可检查 Kubernetes YAML 文件和 Helm charts，以确保其中描述的应用遵循最佳实践。