Code Analysis Tool

تقوم الأداة بجرد ملفات المصدر والتبعيات والتراخيص والبيانات الوصفية المرتبطة بالسياسة عبر لغات متعددة، وتنتج نتائج مُهيكلة مع درجات مخاطرة وإرشادات للإصلاح.

تدعم الأداة عدة بيئات مثل npm/Gradle، PyPI، Go modules، NuGet، RubyGems وغير ذلك، ويمكن تشغيلها محلياً أو في CI. تحدد أخطاء في أنماط الشفرة، والتبعيات القديمة، وغموض التراخيص، وتقدّم توصيات قابلة للتنفيذ للإصلاح وتطبيق السياسات.

كما تسجل الإسناد لكل ملف، وتتبع تبعيات ومحددات SPDX لتسهيل التدقيقات.

من الناحية المفاهيمية، تُحلل أوجه manifests الحزم (package.json، pom.xml، build.gradle، pyproject.toml، go.mod، إلخ) وتفحص الشفرة لبناء مخطط تبعيات. تطبّق مجموعة من القواعد التي تعرف ضوابط السياسة، وبوابات الجودة، والقيود الترخيصية، وتحسب لكل كشف درجة مخاطرة بناءً على الشدة، النطاق والتعرض. يمكنه إخراج مخرجات منظمة مثل تقارير JSON و SARIF لدمجها مع لوحات أمان وأنظمة تتبع التذاكر. يدعم المسح المتزايد والتخزين المؤقت لإدارة مستودعات كبيرة بكفاءة.

المستخدمون يشملون مطورين ومهندسي أمان ومكاتب برامج OSS وفرق الامتثال القانونية الذين يحتاجون إلى رؤى دقيقة وقابلة للتحقق في الوقت الفعلي. القيمة في الكشف المبكر عن المخاطر، والإصلاح المعتمد على الأدلة، وتقارير الحوكمة القابلة لإعادة الإنتاج. يتيح قياس تعرض OSS وتتبع الإصلاحات مع مرور الوقت وإثبات الامتثال خلال مراجعات الموردين والتدقيقات الخارجية. الميزات الأساسية: فحص المستودعات، parsing manifests بغض النظر عن اللغة، التعرف على التراخيص وفق SPDX، تقييم المخاطر per-file، إنشاء مخطط تبعيات، وخيارات التصدير (JSON، SARIF، CSV). حالات الاستخدام تشمل التحقق من امتثال التراخيص لتبعيات جديدة، تقييمات سطح الهجوم في طلبات السحب وتقارير الحوكمة لبرامج OSS. يمكن للفِرق تخصيص حزم القواعد، قوائم الاستثناء وقنوات الإشعار، وتخطيط مسح آلي للحفاظ على الرؤية المستمرة.