Code Analysis Tool

A ferramenta identifica arquivos-fonte, dependências, licenças e metadados políticos em várias linguagens e gera findings estruturados com pontuações de risco e orientações de remediação.

Suporta vários ecossistemas (npm/Gradle, PyPI, Go modules, NuGet, RubyGems e outros) e pode ser executada localmente ou em CI. Identifica defeitos em padrões de código, dependências desatualizadas, ambiguidades de licenças e licenças não conformes, fornecendo recomendações acionáveis para remediação e aplicação de políticas.

Captura também atribuição por arquivo, linha de dependências e identificadores SPDX para facilitar auditorias.

Conceitualmente analisa manifests de pacotes (package.json, pom.xml, build.gradle, pyproject.toml, go.mod, etc.) e varre o código para construir um grafo de dependências. Aplica um conjunto de regras que define controles de política, gates de qualidade e restrições de licença, calculando um score de risco por achado com base em severidade, alcance e exposição. Pode emitir saídas estruturadas, incluindo relatórios JSON e SARIF, para integração com painéis de segurança e sistemas de tickets. Suporta varreduras incrementais e caching para gerenciar grandes repositórios com eficiência.

Usuários incluem desenvolvedores, engenheiros de segurança, escritórios de programas OSS e equipes jurídicas/compliance que precisam de insights audíveis e priorizados em tempo real. O valor reside na detecção precoce de riscos, remediação baseada em evidências e relatórios de governança reprodutíveis. Permite quantificar a exposição de código aberto, acompanhar a remediação ao longo do tempo e demonstrar conformidade durante revisões de fornecedores e auditorias externas. Funcionalidades-chave: varredura de repositórios, parsing de manifestos independente de linguagem, reconhecimento de licenças conforme SPDX, pontuação de risco por arquivo, geração de grafo de dependências e opções de exportação (JSON, SARIF, CSV). Casos de uso: checagens de conformidade de licenças para novas dependências, avaliações de superfície de vulnerabilidade em pull requests e governança para programas OSS. Equipes podem personalizar conjuntos de regras, listas de ignorados e canais de notificação, e planejar varreduras automatizadas para visibilidade contínua.