腾讯云代码分析

产品介绍

腾讯云代码分析（内部代号CodeDog）是集成众多分析工具的云原生、分布式、高性能的代码综合分析管理平台，通过运用传统分析技术，并结合 AI Agent 能力，对代码进行综合分析，发现代码中的安全漏洞、质量缺陷、代码规范、组件成分等风险问题，持续跟踪监管代码迭代，支持各种持续集成，助力维护团队卓越代码文化。

产品能力

代码安全 (SAST)

• 污点分析：基于污点传播以及强大的代码推理能力，可以检出常见的 Web 应用安全漏洞，包括但不限于 SQL 注入、XSS、SSRF、反序列化等安全漏洞。
• 敏感信息检查：支持检出各类常见的硬编码密钥、Token 令牌、证书、内部域名，以及其他敏感数据等，且支持自定义规则增强敏感信息检出。
• IaC 安全检查：面向基础设施即代码（IaC）的配置安全检查，覆盖 Terraform、Helm、Kubernetes、Dockerfile 等主流编排与部署文件。
• AI Agent 安全助手：多 Agent 协同工作，深入分析代码语义，完成深度安全审计，可检出包括但不限于注入类、权限访问类、业务逻辑类、危险配置类等安全风险。

代码质量（CodeQuality）

• 质量缺陷：通过数据流与控制流分析，在编译前发现潜在运行时缺陷，包括但不限于空指针引用、数组越界、内存泄露、资源未释放、除零异常、Jar 包冲突等。
• 代码规范：对照业界主流与团队自定义的编码规范，校验编码风格、命名规范、格式一致性等，支持多语言规则配置与规则自定义。
• 代码度量：从复杂度、重复度、规模三个维度量化代码可维护性，度量圈复杂度、重复代码率、代码行数、注释率等指标，并支持代码历史趋势分析。

软件成分分析（SCA）

• 源码组件成分分析：分析项目依赖声明与包管理文件，精准识别组件依赖，检出组件资产清单（SBOM）、开源组件漏洞、License 合规以及供应链投毒等风险。
• 制品组件成分分析：对二进制制品（如 APK、Jar 包、SO 文件、Docker 镜像等）逆向识别组件成分，检测 License 合规、安全漏洞、投毒及敏感信息泄漏。
• 安装包检查：深入安装包内结构，分析资源文件、包体积、图片冗余、接口调用、dex 与 macho 文件等，识别体积膨胀、冗余资源、异常接口等问题。

VSCode 插件说明

腾讯云代码分析 VSCode 插件支持一键启动代码分析，查看分析结果。包含在线分析、本地分析、变更快扫、Pre-Commit 扫描等能力。

使用说明

使用插件前，需要在腾讯云代码分析官网完成用户注册、加入团队、代码库登记及分析项目配置。

具体使用指引请查看帮助文档。