sast

轻量级多语言静态分析工具，使用类似源码的模式找出错误变体

⚙️ 精选的静态分析（SAST）工具和 linter，支持所有编程语言、配置文件、构建工具等，重点在提升代码质量的工具。

DeepAudit：人人拥有的 AI 黑客战队，让漏洞挖掘触手可及。国内首个开源的代码漏洞挖掘多智能体系统。小白一键部署运行，自主协作审计 + 自动化沙箱 PoC 验证。支持 Ollama 私有部署，一键生成报告。支持中转站。让安全不再昂贵，让审计不再复杂。

用于集成 MCP 服务器的 JADX 插件

代码安全扫描工具 (SAST)，用于发现、过滤并排定安全与隐私风险的优先级。

nodejsscan 是一个针对 Node.js 应用程序的静态安全代码扫描器。

VAPT/AppSec 与渗透测试指南的完整解决方案：Web | Mobile | API | 传统应用程序 | 源码审查 | DevSecOps | 无线网络 | 网络渗透测试 | SAST | DAST 等...

寻找各处泄露的机密。

针对 Kubernetes 资源的安全风险分析

Horusec 是一个开源工具，只需一个指令即可提升项目中漏洞的识别能力。

将你的 AI 程序员变成 SAST 扫描器的 Agent 技能集合

一个模块化且与栈无关的安全性审查技能工具包，供 AI 编码代理自主寻找、重现并修补漏洞。

AI 优先的安全扫描器。v2026.7 新功能：Claude Code 遭入侵检测——在克隆前审查 .claude/ hooks、权限与 skills，外加常驻的 AI 攻击特征扫描器以及原生 Rust 与 PHP 规则。另有：medusa scan --git 以审查任何 repo，medusa secrets scan 以寻找泄露的 API 密钥。40,000+ 种特征，零配置。

APKHunt 是一个基于 OWASP MASVS 框架的 Android 应用程序综合静态代码分析工具。虽然 APKHunt 主要供移动应用程序开发人员和安全测试人员使用，但任何人都可以使用它来识别和解决代码中的潜在安全漏洞。

JavaSecLab 是一个综合型 Java 漏洞平台｜JavaSecLab是一款综合型Java漏洞平台，提供相关漏洞缺陷代码、修复代码、漏洞场景、审计SINK点、安全编码规范，覆盖多种漏洞场景，友好用户交互UI……

DianXing - AI 驱动的端到端代码安全性审计

mobsfscan 是一个静态分析工具，可以找出 Android 与 iOS 源码中的不安全代码模式。支持 Java、Kotlin、Swift 与 Objective C 代码。mobsfscan 使用 MobSF 静态分析规则，并由 semgrep 与 libsast 模式匹配器驱动。

来自 Knostic 的 OpenAnt 是领先的开源基于 LLM 的漏洞发掘产品，可协助防守方主动寻找已验证的安全漏洞，同时将误报与漏报降至最低。第一阶段负责检测，第二阶段负责攻击，存活下来的就是真实威胁。

ASH 是一个可扩展的开源 SAST、SCA 与 IaC 安全扫描器协调引擎。

开源的本地优先 PR 扫描器，可在合并前发现无用代码、安全漏洞、密钥泄漏、质量回归及 AI 代码错误。新手请参考 https://duriantaco.github.io/skylos/repo-map/