它解决什么问题
手工渗透与请求改包的工作台
Burp Suite
STACKS质量与安全PortSwigger · Web 渗透测试平台
所属栏目
质量与安全
应用与供应链安全
形态
Web 渗透测试平台
开源 / 商业 / 托管形态
许可证
商业服务（社区版免费）
以官方仓库为准
数据日期
2026-10-27
条目信息核对到这一天
Burp Suite 编辑总结
整理日期：2026-10-27 · 应用与供应链安全 · 同分类 25 个
分类应用与供应链安全质量与安全下的分类
形态Web 渗透测试平台交付形态，决定怎么接入
主要语言Java以官方仓库为准
许可证商业服务（社区版免费）商用前核对 LICENSE 原文
同分类条目25可与下方对比表横向比较
上面几项是本条目的关键信息摘要，正文整理见下方「详细说明」与「关键信息」。
详细说明
核心优势
代理拦包后可随意改请求、重放与比对响应，浏览应用时顺带记录下攻击面；插件生态成熟，漏洞验证与自动化测试都能拼起来，社区版免费可用。
注意事项
核心扫描与自动化在商业版，社区版限速且功能少；手工测试依赖测试者经验，业务逻辑类漏洞容易漏。
适合场景
需要人工渗透验证、想把请求分析流程做顺的安全团队。
不适合场景
只想跑一遍自动化扫描、不打算投入人工分析的项目。
关键信息
- 维护方
- PortSwigger
- 分类
- 应用与供应链安全
- 形态
- Web 渗透测试平台
- 主要语言
- Java
- 许可证
- 商业服务（社区版免费）
- 代码仓库
- 未提供
- 官方文档
- https://portswigger.net/burp/documentation
特性标签
渗透测试请求拦截Web 安全
标签取自各项目公开信息里的分类字段，未做二次归类。
同分类质量与安全对比
| 方案 | 形态 | 定位 | 许可证 |
|---|---|---|---|
| Semgrep | 静态代码扫描 | 按代码结构匹配的静态扫描工具 | LGPL-2.1 |
| Trivy | 漏洞与配置扫描器 | 覆盖镜像、依赖与配置的漏洞扫描器 | Apache-2.0 |
| Snyk | SaaS 安全平台 | 面向开发者的依赖与代码安全平台 | 商业许可（CLI 源码为 Apache-2.0） |
| OWASP ZAP | 动态应用安全测试 | 开源的 Web 应用动态安全扫描器 | Apache-2.0 |
| cosign | 容器与二进制签名工具 | 给镜像和二进制做签名与校验 | Apache-2.0 |
| Syft | 物料清单生成工具 | 给镜像和文件系统出物料清单 | Apache-2.0 |
| Grype | 镜像与文件系统漏洞扫描器 | 拿物料清单比对已知漏洞 | Apache-2.0 |
| OWASP Dependency-Check | 依赖漏洞扫描插件 | 构建时扫依赖里的已知漏洞 | Apache-2.0 |
| Gitleaks | 密钥扫描命令行工具 | 扫代码与提交历史里的密钥 | MIT |
| TruffleHog | 凭据泄漏扫描工具 | 扫泄漏凭据并验证能不能用 | AGPL-3.0 |
| SonarQube | 代码质量与静态分析平台 | 代码质量与安全缺陷的静态分析 | LGPL-3.0 |
| Falco | 运行时行为检测引擎 | 盯容器运行时行为找异常 | Apache-2.0 |
| Tetragon | eBPF 运行时观测与拦截 | 用 eBPF 观测并拦截进程行为 | Apache-2.0 |
| Renovate | 依赖自动更新机器人 | 自动提依赖升级合并请求 | AGPL-3.0 |
| CodeQL | 语义代码扫描引擎 | 把代码当数据库查安全缺陷 | MIT |
| in-toto | 供应链完整性框架 | 给交付链路每一步留可验证凭证 | Apache-2.0 |
| OWASP Threat Dragon | 威胁建模工具 | 画数据流图做威胁建模 | Apache-2.0 |
| Vanta | 合规自动化平台 | 自动收集合规证据与监控控制项 | 商业服务 |
| Nuclei | 模板化漏洞扫描器 | 按模板批量扫已知漏洞 | MIT |
| 42Crunch | API 安全审计平台 | 按 OpenAPI 契约审接口安全 | 商业服务 |
| Checkov | IaC 安全扫描工具 | 扫基础设施代码里的配置风险 | Apache-2.0 |
| KICS | IaC 安全扫描工具 | 查基础设施代码里的安全隐患 | Apache-2.0 |
| Bandit | Python 静态分析工具 | 扫 Python 代码里的常见安全问题 | Apache-2.0 |
| Brakeman | Rails 安全扫描工具 | 专查 Ruby on Rails 应用漏洞 | Brakeman Public Use License |
| detect-secrets | 密钥扫描工具 | 扫代码库里疑似泄露的密钥 | Apache-2.0 |
同一分类内的方案才适合横向比较；定位列已按详情页原文截断
相关链接
质量与安全 常见问题
测试与安全要不要各配一套工具？
两者服务同一条发布流程：测试回答「功能有没有坏」，可观测回答「线上稳不稳」，安全回答「有没有被滥用或攻破」。它们通常接在同一条流水线里——单测与集成测试、依赖与密钥扫描、上线后的冒烟与回归——放在一起看更接近真实落地。
AI 应用的评测和传统测试有什么不同？
传统测试断言确定输出，AI 评测是在数据集上看分布（准确率、召回、拒答率）。所以它需要独立的评测集与判分器，护栏则是运行时的硬拦截，两者都要，不能互相替代。
数据说明
所属栏目质量与安全分类：应用与供应链安全
数据来源项目官方文档与代码仓库定位、优势与许可条件取自官方资料，中文为归纳版
数据日期2026-10-27条目信息核对到这一天；官方更新后以官方为准
口径边界整理不改写能力、价格与许可证以官方为准；本站不打分、不排推荐名次
页面文字只做中文整理，数值不改写；仓库地址、许可证与版本请以官方仓库为准，本站与所列项目无隶属关系。
继续浏览质量与安全
返回栏目列表
上一个条目已经是第一个了
下一个条目已经是最后一个了
同分类的其他质量与安全
更多条目信息取自各项目官方仓库与文档；定位、优势与注意事项为中文归纳，数值不改写，仓库地址、许可证与版本以官方为准。
