Code Analysis Tool

Verktyget inventerar källkods-filer, beroenden, licenser och policy-relaterad metadata över flera språk och producerar strukturerade funna poster med riskpoäng och åtgärdsrekommendationer.

Det stöder flera ekosystem (npm/Maven/Gradle, PyPI, Go-modules, NuGet, RubyGems, med flera) och kan köras lokalt eller i CI. Det identifierar defekter i kodmönster, föråldrade beroenden, licensatser och icke-överensstämmande licenser samt ger åtgärdsbara rekommendationer för åtgärd och policydrift.

Det fångar även per-fil attribution, beroendekedjor och SPDX-identifikatorer för att underlätta revisioner.

Koncepterparsar det paket-manifests (package.json, pom.xml, build.gradle, pyproject.toml, go.mod, etc.) och skannar källor för att bygga ett beroendegraf. Det tillämpar en uppsättning regler som definierar policy-kontroller, kvalitetsgrindar och licensbegränsningar, och beräknar sedan ett riskpoäng per fynd baserat på allvar, räckvidd och exponering. Verktyget kan producera strukturerade utdata inklusive JSON-rapporter och SARIF för integrering med säkerhetsdashboards och ärendehanteringssystem. Det stödjer inkrementella skanningar och caching för att hantera stora repositories effektivt.

Användare inkluderar utvecklare, säkerhetsingenjörer, OSS-programkontor och juridiska/compliance-team som behöver snabba, prioriterade auditable insikter. Värdet ligger i tidig riskidentifiering, bevisbaserad åtgärd och reproducibel governance-rapportering. Det gör det möjligt för team att kvantifiera öppen källkodsexponering, följa åtgärder över tid och visa efterlevnad vid leverantörsgranskningar och externa revisioner. Kernfunktioner: repository-sökning, språkoberoende manifestparsing, licensigenkänning med SPDX-anpassning, per-fil riskbedömning, generering av beroendegraf och exportalternativ (JSON, SARIF, CSV). Användningsfall: licensnotsing för nya beroenden, sårbarhetsbedömningar i pull requests och governance-rapporter för OSS-program. Team kan anpassa regelpaket, ignoristor och meddelandekanaler samt schemalägga automatiska skanningar för kontinuerlig synlighet.