Agentic PR Review
以拉取请求为单位分析代码改动，在合并前标出风险点，把安全审查嵌进代码评审流程。免费档 5 次/月，Pro 档 20 次/贡献者/月。
官方说明 ↗
价格免费档 $0/月；Pro 档 $39/贡献者/月；企业档需联系销售。
平台Web / API
归类AI 编程
收录2025-01-01
复核2025-01-01
编辑评分
4.3 / 5
★★★★☆
CodeThreat编辑总结
CodeThreat 是一个 AI 原生的应用安全平台，用自主 AI 代理在代码审查阶段发现安全问题。它把 SAST、SCA、IaC、容器安全与密钥扫描收进同一平台，支持 27+ 语言与框架。免费档提供 $0/月，含 3 个私有仓库与有限次数的 AI 代理审查；Pro 档 $39/贡献者/月。它主打降低误报、在 PR 阶段拦截风险，适合已经把安全左移的研发团队。
CodeThreat是什么？
CodeThreat 是一款 AI 原生的应用安全（AppSec）平台，核心思路是用自主 AI 代理理解项目上下文，在拉取请求（PR）阶段就把安全风险找出来。它面向开发团队与 DevSecOps 团队，把安全从上线后的检查变成代码评审里的一步。
平台把多项安全能力集中在一处：AI SAST 做全代码库的智能审查，能识别逻辑缺陷、数据流与认证路径这类规则型扫描器常漏掉的问题；False Positive 代理会复核发现项，标出不可利用的并解释原因；Agentic PR Review 以 PR 为单位分析代码改动；Repo Mapping 可视化整个仓库的组件、流向与依赖关系。此外还有 SCA、IaC、容器安全与密钥扫描。
对不同角色：开发者在提交 PR 时即可看到安全发现与修复建议，不用切换工具；安全团队用统一视图集中管理发现项、导出漏洞报告；企业用户可选 SaaS、私有云或本地部署，并支持私有 LLM 托管与合规报告。
CodeThreat核心功能
误报消除代理
持续学习自动过滤弱相关与不可利用的发现项，并解释为何判定为误报。免费档 10 次/月，Pro 档 100 次/贡献者/月，企业档不限。
官方说明 ↗AI SAST
对全代码库做 AI 驱动审查，结合项目上下文识别逻辑缺陷、数据流与认证路径问题。分析无需编译或构建项目。
官方说明 ↗数据流分析
追踪数据在函数与文件之间的流动，识别危险逻辑路径，并且不需要编译或构建项目即可完成分析。
官方说明 ↗仓库映射
可视化整个代码仓库，把组件、流向与依赖关系连成图，团队不用手工梳理就能理解项目结构。
官方说明 ↗多语言与集成
支持 27+ 编程语言与框架，含 Python、Java、JavaScript、Go、C#，以及 Django、React、Spring、Laravel 的专用规则；集成 GitHub、GitLab、Bitbucket、CI/CD 与云厂商。
官方说明 ↗统一安全覆盖
SAST、SCA、IaC、容器安全与密钥扫描集中在同一平台，IaC 覆盖 Terraform、K8s、Docker 的错误配置检查。
官方说明 ↗AI 修复建议
每条发现项可附 AI 生成的修复建议，帮助开发者直接定位问题并着手修改。
官方说明 ↗CodeThreat值不值得用？
当成 PR 阶段的安全守门员用，CodeThreat 的价值在免费档就能验证：3 个私有仓库、每月 5 次 AI PR 审查，够一个小团队跑通流程。真正要规模化的团队，$39/贡献者/月的 Pro 档解锁密钥扫描、IaC 与 Jira 集成，按人数计费对小团队友好。如果只需要一次性代码扫描而非持续嵌入评审流程，它的代理模式未必比传统扫描器省事。企业合规与本地部署走联系销售，没有公开报价。
建议选它的情况
- 想让安全审查嵌进 PR 流程、不想额外加一道人工关卡的研发团队
- 用 GitHub、GitLab、Bitbucket 或既有 CI/CD，希望不改工作流的团队
- 需要 SAST、SCA、IaC、密钥扫描统一视图而非多工具拼凑的安全团队
- 要本地部署或私有 LLM 托管、有合规要求的企业
不建议选它的情况
- 只做一次性代码扫描、不需要持续代理审查的团队
- 预算按人头严格受限、且团队规模较大的组织（Pro 档按贡献者计费）
- 需要公开透明定价再走采购流程的买家，企业档没有公开费率
CodeThreat使用建议
入门先把路子走对
- 从免费档起步注册后先用 $0/月免费档接入 3 个私有仓库，跑一次 SAST + SCA 扫描看发现项质量，再决定是否升级。
- 先连代码托管在集成里接入 GitHub、GitLab 或 Bitbucket，让 PR 审查自动触发，避免手动上传代码。
- 看一次误报代理跑完扫描后对照误报消除结果，确认它标出的不可利用项是否符合团队判断，再决定信任何种程度。
进阶省时间也省钱
- 配额按团队分配免费档 AI PR 审查 5 次/月、误报消除 10 次/月，优先给改动风险最高的仓库，把额度花在关键分支上。
- 按贡献者数选档Pro 档 $39/贡献者/月，仓库数与扫描次数不限但计费按人，先把活跃提交者纳入，非提交角色无需占名额。
- 用 Jira 同步闭环Pro 档支持 Jira 集成，把安全发现自动同步为工单，配合审计日志追踪修复进度。
CodeThreat适合谁用？
中小研发团队
推荐免费档含 3 个私有仓库与有限代理审查次数，够在真实项目上验证安全性是否值得纳入流程。
DevSecOps 团队
推荐SAST、SCA、IaC、密钥扫描集中一处，并按贡献者计费，便于统一管理多个仓库的安全发现。
开源维护者
推荐公开仓库在三个档位均不限数量，可自由扫描，适合把安全审查加进开源项目的 CI。
安全合规要求高的企业
有条件企业档提供本地部署、私有 LLM 托管与高级合规报告，并支持人工开票，价格需联系销售。
只有零星扫描需求的个人
不推荐平台以持续代理审查为核心，若一年只跑几次全量扫描，免费额度之外的付费档可能用不满。
CodeThreat优点和缺点
优点
- 免费档 $0/月，含 3 个私有仓库与 SAST + SCA 扫描
- AI 误报消除按配额执行，免费档 10 次/月、Pro 档 100 次/贡献者/月
- 支持 27+ 语言与框架，含 Django、React、Spring、Laravel 专用规则
- SAST 分析无需编译或构建项目即可运行
- 公开仓库在 Free、Pro、Enterprise 三档均不限数量
- 企业档支持本地部署与私有 LLM 托管，满足数据驻留要求
缺点
- 企业档价格未公开，需联系销售才能获取报价
- 免费档的 AI 能力配额较低，PR 审查仅 5 次/月
- Pro 档 $39 按贡献者/月计费，团队人数多时成本线性上升
- Pro 档专属的密钥扫描与 IaC 覆盖在免费档不可用
CodeThreat版本与计费对比
| 方案 | 价格 | 包含内容 | 说明 |
|---|---|---|---|
| Free Plan | $0/Month | 3 Private Repository；SAST + SCA Scanning；Limited Agentic PR Review；Limited False Positive Elimination；No Credit Top-Ups | 适合小团队试用 |
| Pro Plan | $39/Per Contributor/Month | Role Based Access Control；Secret Scanning；Infrastructure Security；Jira Integration；Vulnerability Report & Exports | 适合规模化交付安全代码的团队 |
| Enterprise Plan | 联系销售 | On-Prem Deployment；SLA + dedicated support；Advanced Compliance Reporting；Private LLM Model Hosting Options；Manuel Invoice | 适合需要深度安全覆盖与治理的公司 |
以上为公开费率整理，厂商保留调价权利，实际以官方页面为准。
CodeThreat关键指标
| 指标 | 数值 | 数据来源 |
|---|---|---|
| 支持语言与框架 | 27+ | codethreat.com 首页 |
| 免费档私有仓库数 | 3 Private Repository | codethreat.com 定价页 |
| 免费档 AI PR 审查配额 | 5/monthly | codethreat.com 定价页 |
| Pro 档误报消除配额 | 100 per contributor/monthly | codethreat.com 定价页 |
| Pro 档价格 | $39/Per Contributor/Month | codethreat.com 定价页 |
CodeThreat常见问题
CodeThreat 多少钱？＋
免费档 $0/月，含 3 个私有仓库、无限公开仓库、SAST + SCA 扫描，以及有限次数的代理 PR 审查和误报消除。Pro 档 $39/贡献者/月，增加基于角色的访问控制、密钥扫描、基础设施安全、Jira 集成与漏洞报告导出。企业档需联系销售。
免费档够用吗？＋
看团队规模。免费档允许接入 3 个私有仓库，AI PR 审查 5 次/月、误报消除 10 次/月、仓库摘要与 AI 代码审查各 10 次/月。如果只是在一两个仓库上验证安全左移是否可行，这些额度足够跑通流程；要覆盖多个仓库或高频提交，就得升到 Pro 档。
CodeThreat 和其他代码扫描工具有什么不同？＋
它强调用自主 AI 代理而非纯规则匹配来发现安全问题，能结合项目上下文识别逻辑缺陷、数据流与认证路径问题，并额外跑一层误报消除代理过滤不可利用项。SAST、SCA、IaC、容器安全与密钥扫描集中在同一平台，集成不改动既有 CI/CD 流程。
支持哪些语言和代码托管平台？＋
支持 27+ 编程语言与框架，包括 Python、Java、JavaScript、Go、C#，并对 Django、React、Spring、Laravel 提供专用规则。代码托管集成 GitHub、GitLab、Bitbucket 与 Azure，同时兼容 CI/CD 流水线与云厂商，无需改动现有工作流。
扫描代码需要先编译或构建项目吗？＋
不需要。SAST 采用无构建要求的方式运行，数据流分析可在不编译、不构建项目的前提下追踪数据在函数与文件之间的流动，识别危险逻辑路径，因此对多语言、多框架的仓库更易接入。
能不能本地部署或者自备 LLM？＋
可以。免费档与 Pro 档是 SaaS 部署，企业档可选 SaaS、私有云或本地部署，并提供私有 LLM 模型托管选项，同时支持高级合规报告、SLA 与专属支持，以及人工开票。
