静态分析

Semgrep 是一款开源的代码安全与静态分析平台，支持 SAST、SCA 和密钥扫描。通过可自定义规则和 AI 辅助检测，帮助开发者和安全团队在代码提交前发现漏洞、错误配置及安全风险，适用于 CI/CD 和 IDE 集成。

SonarQube是开源的代码质量和安全扫描平台，支持超过35种编程语言，能自动检测bug、漏洞、坏味道和测试覆盖率。适用于CI/CD流程，帮助团队持续提升代码可靠性和安全性。