典型商用SAST工具介绍

链接：https://www.synopsys.com/software-integrity/security-testing/static-analysis-sast.html

顶级工具，业界对标的标准，擅长C/C++等语言检查

链接：https://www.microfocus.com/zh-cn/cyberres/application-security/static-code-analyzer

老牌静态代码分析工具，擅长java等语言的检查

链接：https://checkmarx.com/zh/product/cxsast-source-code-scanning/

当前也属于Gartner领导者象限部分，C/C++部分不基于编译，源码扫描，所以我一个做工具的，其实是很想知道他们的C/C++的能力是怎么保证的，误报是怎么消减下来的。

链接：https://www.perforce.com/products/klocwork

能力还不错，步骤很规整。

链接：https://www.sonarsource.com/products/sonarqube/

靠开源部分的检查，使SonarQube的市场占有率很高，但是说实话，商用独有的检查能力和其他工具比弱了点儿。但是算起来，如果是小批量工程扫描，使用体验会比较好，而且有比较强大的第三方工具的集成能力。

链接：https://codeql.github.com/

前面给的链接是CodeQL的链接，CodeQL是一种DSL，其引擎是LGTM。该工具如果用来扫描开源代码，或者纯实验性质的挖漏洞，是免费的，但是如果要集成到企业内部，就需要收费。

链接：https://pclintplus.com/pc-lint-plus/

C/C++，基于clang开发。该工具原来应该是美国的一家公司开发，但是目前被总部位于德国的公司收购，但是我理解，PC-Lint如果出售，应该受到美国实体清单的影响。

链接：https://pvs-studio.com/en/

C，C++，C#，Java 代码检查

链接：https://www.ispras.ru/en/technologies/svace/

C/C++部分基于clang开发，能力也还可以，需要结合一些实际场景再多进行一些打磨

链接：https://www.veracode.com/products/binary-static-analysis-sast

该工具是基于二进制的SAST

链接：https://www.huaweicloud.com/devcloud/

华为云上面的代码检查服务，是 CodeArts 的一部分，名字是 CodeArts Check，最大的优势是可以针对众多的开源工具提供了一站式的检查，当然也有外溢公司内部自研的检查工具。

链接：https://cn.aliyun.com/product/yunxiao/codeup

阿里云效Codeup，跟华为云上面的CodeArts差不多的产品。其代码检查部分，集成了原来的源伞的Pinpoint，同时也有专门的敏感信息检查SecretRadar、依赖包漏洞检查等自研检查工具。

链接：https://cloud.tencent.com/product/tcap

腾讯云上面的代码检查服务，集成了众多开源和自研代码分析工具。有点儿跟华为云的 CodeArts 比较像。

链接：http://www.redrocket.cn/SAST/

前几年也测评过这款工具，能力不错，主要我对他们的实现技术比较认可，少有的从基础打磨的检查工具。

链接：https://www.sourcebrella.com/

参考链接中的介绍。技术水平比较高，大家可以参考其发的部分论文了解相关的实现。现在被蚂蚁收购。

链接：https://codesafe.qianxin.com/#/home

参考链接中的介绍。前些年测评过该工具，当时对java支持很不错，最近进展不清楚。

链接：https://www.gysecurity.cn/code.html

不需要编译、运行，好像是直接扫描源码的？