Code Analysis Tool

Værktøjet kortlægger kildefiler, afhængigheder, licenses og politik-relateret metadata på tværs af sprog og producerer strukturerede fund med risikoscores og afhjæbningsvejledninger.

Det understøtter flere økosystemer som npm/Gradle, PyPI, Go-moduler, NuGet, RubyGems og flere; kan køre lokalt eller i CI. Det identificerer fejl i kodemønstre, forældede afhængigheder, licens-uklarheder og ikke-overholdte licenser og giver handlingsbare anbefalinger til afhjælpning og politikhåndhævelse.

Det registrerer også per-fil attribution, afhængighedslinjer og SPDX-identifikatorer for at lette audits.

Koncepter parer det pakke-manifests (package.json, pom.xml, build.gradle, pyproject.toml, go.mod, osv.) og scanner kildekoden for at opbygge et afhængighedsgraf. Det anvender et regelsæt der definerer policy-kontroller, kvalitets-kasser og licensbegrænsninger, og beregner derefter en risikopoeng for hver fund baseret på alvorlighed, rækkevidde og eksponering. Værktøjet kan give strukturerede outputs, herunder JSON-rapporter og SARIF, til integration med sikkerheds dashboards og ticket-systemer. Incementelle scanninger og caching understøttes for at håndtere store repositories effektivt.

Brugere inkluderer udviklere, sikkerhedsingeniører, OSS-programkontorer og juridiske/compliance-teams, der har brug for rettidige, prioriterede auditable indsigter. Værdien ligger i tidlig risikoudsigt, evidensbaseret afhjælpning og gentagelig governance-rapportering. Det gør det muligt at kvantificere open source-eksponering, spore afhjælpning over tid og dokumentere overholdelse under leverandørgennemgange og eksterne audits. Kernefunktioner omfatter repositoriescanning, sprog-uafhængig manifest-parsing, licensgenkendelse i overensstemmelse med SPDX, per-fil risikoberegning, generering af afhængighedsgraf og eksportmuligheder (JSON, SARIF, CSV). Anvendelsesområder inkluderer licens-compliance ved nye afhængigheder, sårbarhedsvurderinger i pull requests og governance-rapporter for OSS-programmer. Teams kan tilpasse regelpakker, ignorérlister og notificeringskanaler samt planlægge automatiserede scanninger for kontinuerlig synlighed.