质量与安全
TECH STACK开发技术栈测试、可观测、认证与授权、应用与供应链安全，以及 AI 应用的评测与护栏：回答同一个问题——上线敢不敢。
收录条目
90 条
按用途筛选，同类才可比
先按分类把范围缩到一类：测试、可观测、认证与授权、应用与供应链安全、AI 评测与护栏；同一类里再比形态与许可证。
分类
5 个
按用途分组
适用场景
技术选型
先定位，再比同类
数据日期
2026-10-27
核对到这一天
口径边界
只比同类
跨类不横向比
筛选与排序
显示 27 / 90 条质量与安全对照表
显示 27 / 90 条| 名称 | 分类 | 形态 | 一句话定位 | 亮点 / 热度 | 许可证 | 详情 |
|---|---|---|---|---|---|---|
| 42Crunch 42Crunch · 应用与供应链安全 | 应用与供应链安全 | API 安全审计平台 | 按 OpenAPI 契约审接口安全 | 以 OpenAPI 描述文件为基准，查鉴权、参数校验与数据暴露等契约级问题，还能在网… | 商业服务 | 查看详情 |
| Agent Sandbox 安全 / 鉴权 · Agent 执行隔离 | 应用与供应链安全 | 技术名词 | 限制 Agent 文件、进程、网络和宿主系统边界的执行隔离层 | 让 Agent 能做事，但只能在明确授权的边界里做事。 | — | 查看详情 |
| Bandit PyCQA（Python 代码质量社区） · 应用与供应链安全 | 应用与供应链安全 | Python 静态分析工具 | 扫 Python 代码里的常见安全问题 | 按插件规则扫反序列化、命令注入、硬编码口令等常见写法，一条命令就能跑；能按严重级别和… | Apache-2.0 | 查看详情 |
| Brakeman Brakeman 社区 · 应用与供应链安全 | 应用与供应链安全 | Rails 安全扫描工具 | 专查 Ruby on Rails 应用漏洞 | 直接读 Rails 的路由与控制器做静态分析，能识别 SQL 注入、命令注入、批量赋… | Brakeman Public Use License | 查看详情 |
| Burp Suite PortSwigger · 应用与供应链安全 | 应用与供应链安全 | Web 渗透测试平台 | 手工渗透与请求改包的工作台 | 代理拦包后可随意改请求、重放与比对响应，浏览应用时顺带记录下攻击面；插件生态成熟，漏… | 商业服务（社区版免费） | 查看详情 |
| Checkov Bridgecrew（Palo Alto Networks） · 应用与供应链安全 | 应用与供应链安全 | IaC 安全扫描工具 | 扫基础设施代码里的配置风险 | 内置大量策略覆盖 Terraform、Kubernetes、Helm 与云模板，改完… | Apache-2.0 | 查看详情 |
| CodeQL GitHub · 应用与供应链安全 | 应用与供应链安全 | 语义代码扫描引擎 | 把代码当数据库查安全缺陷 | 先把源码编译成可查询的数据库，再用查询找数据流里的注入、越权等缺陷，跨函数追踪比正则… | MIT | 查看详情 |
| cosign Sigstore（OpenSSF） · 应用与供应链安全 | 应用与供应链安全 | 容器与二进制签名工具 | 给镜像和二进制做签名与校验 | 签名与身份证书一起写进透明日志，验证方不必事先交换公钥；镜像、二进制、物料清单与证明… | Apache-2.0 | 查看详情 |
| detect-secrets Yelp · 应用与供应链安全 | 应用与供应链安全 | 密钥扫描工具 | 扫代码库里疑似泄露的密钥 | 用插件式检测器扫文件与提交，命中结果写成基线文件，之后只报新增密钥；能挂到提交钩子上… | Apache-2.0 | 查看详情 |
| Falco CNCF（Falco 社区） · 应用与供应链安全 | 应用与供应链安全 | 运行时行为检测引擎 | 盯容器运行时行为找异常 | 基于内核事件与规则描述进程、文件与网络行为，命中规则就告警，业务代码不用改；规则用… | Apache-2.0 | 查看详情 |
| Gitleaks Gitleaks 开源社区 · 应用与供应链安全 | 应用与供应链安全 | 密钥扫描命令行工具 | 扫代码与提交历史里的密钥 | 扫工作区、暂存区与提交历史，用规则库识别云厂商密钥、访问令牌与私钥；能只查增量提交，… | MIT | 查看详情 |
| Grype Anchore · 应用与供应链安全 | 应用与供应链安全 | 镜像与文件系统漏洞扫描器 | 拿物料清单比对已知漏洞 | 读 Syft 生成的清单或直接扫镜像，匹配漏洞库后按严重度排序，能设阈值让高危直接卡… | Apache-2.0 | 查看详情 |
| in-toto in-toto 项目（CNCF） · 应用与供应链安全 | 应用与供应链安全 | 供应链完整性框架 | 给交付链路每一步留可验证凭证 | 把构建、测试、发布各环节的签名凭证串成一条链，验证时按布局检查每步由谁在什么条件下完… | Apache-2.0 | 查看详情 |
| KICS Checkmarx · 应用与供应链安全 | 应用与供应链安全 | IaC 安全扫描工具 | 查基础设施代码里的安全隐患 | 把 Terraform、Kubernetes、Dockerfile 与云模板解析成统… | Apache-2.0 | 查看详情 |
| Nuclei ProjectDiscovery · 应用与供应链安全 | 应用与供应链安全 | 模板化漏洞扫描器 | 按模板批量扫已知漏洞 | 用 YAML 模板描述检测逻辑，社区维护了大量漏洞与配置检查模板，给定目标就能批量跑… | MIT | 查看详情 |
| OWASP Dependency-Check OWASP · 应用与供应链安全 | 应用与供应链安全 | 依赖漏洞扫描插件 | 构建时扫依赖里的已知漏洞 | 以 Maven、Gradle、npm 等构建插件接入，构建时顺带扫依赖并匹配漏洞库；… | Apache-2.0 | 查看详情 |
| OWASP Threat Dragon OWASP · 应用与供应链安全 | 应用与供应链安全 | 威胁建模工具 | 画数据流图做威胁建模 | 把系统拆成进程、存储与数据流，边画边按规则列出威胁并给出缓解建议；模型存成文件可随代… | Apache-2.0 | 查看详情 |
| OWASP ZAP OWASP · 应用与供应链安全 | 应用与供应链安全 | 动态应用安全测试 | 开源的 Web 应用动态安全扫描器 | 既能当拦截代理手工抓包改包，也能跑自动扫描，覆盖注入、跨站脚本、越权访问等常见 We… | Apache-2.0 | 查看详情 |
| Renovate Mend（Renovate 社区） · 应用与供应链安全 | 应用与供应链安全 | 依赖自动更新机器人 | 自动提依赖升级合并请求 | 按规则扫各生态的依赖清单与锁文件，自动开升级合并请求并跑流水线；能分组、错峰与设定合… | AGPL-3.0 | 查看详情 |
| Semgrep Semgrep, Inc. · 应用与供应链安全 | 应用与供应链安全 | 静态代码扫描 | 按代码结构匹配的静态扫描工具 | 规则按语法结构写而不是正则，误报相对少，支持三十多种语言；本地一条命令就能跑，也能在… | LGPL-2.1 | 查看详情 |
| Snyk Snyk Ltd. · 应用与供应链安全 | 应用与供应链安全 | SaaS 安全平台 | 面向开发者的依赖与代码安全平台 | 把依赖漏洞、容器镜像、基础设施即代码与代码扫描放进同一个平台，问题直接给出修复版本并… | 商业许可（CLI 源码为 Apache-2.0） | 查看详情 |
| SonarQube SonarSource · 应用与供应链安全 | 应用与供应链安全 | 代码质量与静态分析平台 | 代码质量与安全缺陷的静态分析 | 按规则库扫重复代码、圈复杂度、坏味道与常见安全缺陷，接上测试覆盖率就能组成质量门禁；… | LGPL-3.0 | 查看详情 |
| Syft Anchore · 应用与供应链安全 | 应用与供应链安全 | 物料清单生成工具 | 给镜像和文件系统出物料清单 | 扫镜像、目录与归档，按 SPDX 或 CycloneDX 输出组件与许可证清单；同一… | Apache-2.0 | 查看详情 |
| Tetragon Cilium（CNCF） · 应用与供应链安全 | 应用与供应链安全 | eBPF 运行时观测与拦截 | 用 eBPF 观测并拦截进程行为 | 在内核侧挂 eBPF 程序，按策略记录进程、文件与网络访问，满足条件时能当场阻断而不… | Apache-2.0 | 查看详情 |
| Trivy Aqua Security · 应用与供应链安全 | 应用与供应链安全 | 漏洞与配置扫描器 | 覆盖镜像、依赖与配置的漏洞扫描器 | 一个二进制就能扫容器镜像、文件系统、代码仓库、Kubernetes 与基础设施即代码… | Apache-2.0 | 查看详情 |
| TruffleHog Truffle Security · 应用与供应链安全 | 应用与供应链安全 | 凭据泄漏扫描工具 | 扫泄漏凭据并验证能不能用 | 命中规则后再去对应服务核验，把「长得像密钥」和「真的可用」分开排优先级；来源覆盖 G… | AGPL-3.0 | 查看详情 |
| Vanta Vanta · 应用与供应链安全 | 应用与供应链安全 | 合规自动化平台 | 自动收集合规证据与监控控制项 | 接上云账号、代码仓库与办公系统后持续拉取配置和日志，自动核对控制项并归档证据；审计季… | 商业服务 | 查看详情 |
数据说明
收录规模90 个条目分 5 类，同类之间才可比
资料口径各项目官方文档与代码仓库以官方文档与仓库为准，只做中文整理
数据日期2026-10-27核对到这一天，官方改动以官方为准
口径边界只比同类跨类场景不同，不可直接比价与打分
常见问题
测试与安全要不要各配一套工具？
两者服务同一条发布流程：测试回答「功能有没有坏」，可观测回答「线上稳不稳」，安全回答「有没有被滥用或攻破」。它们通常接在同一条流水线里——单测与集成测试、依赖与密钥扫描、上线后的冒烟与回归——放在一起看更接近真实落地。
AI 应用的评测和传统测试有什么不同？
传统测试断言确定输出，AI 评测是在数据集上看分布（准确率、召回、拒答率）。所以它需要独立的评测集与判分器，护栏则是运行时的硬拦截，两者都要，不能互相替代。
条目信息取自各项目官方仓库与文档；定位、优势与注意事项为中文归纳，数值不改写，仓库地址、许可证与版本以官方为准。
