免费源代码安全扫描：发现存在漏洞的代码、依赖和泄露的密钥
使用 Ostorlab 免费扫描 .zip 文件或 GitHub、GitLab、Bitbucket、Azure DevOps 代码仓库：静态分析代码、存在漏洞的依赖和硬编码密钥，并通过电子邮件接收报告。
免费源代码安全扫描：发现存在漏洞的代码、依赖和泄露的密钥
简要回答：您可以使用 Ostorlab 免费扫描源代码中的漏洞。上传 .zip 文件或连接代码仓库即可。免费扫描检查三个方面：代码、依赖和任何硬编码密钥。报告会通过电子邮件发送给您。
免费扫描检查什么
| 检查项 | 发现内容 | 示例 |
|---|---|---|
| 代码（SAST） | 您自己代码中的不安全模式 | 使用用户输入构建的 SQL、弱加密、不安全的反序列化 |
| 依赖（SCA） | 存在已知 CVE 的库 | 已有公开漏洞利用代码的过时日志库或 XML 库 |
| 密钥 | 提交到代码中的凭据 | AWS 密钥、API 令牌、私钥、数据库密码 |
扫描采用静态方式，不会构建或执行任何内容，因此可以安全地用于任何分支。
两种开始方式
- 上传 .zip 文件。这是最快的方式。将项目打包，拖入 ostorlab.co 上的表单，然后输入电子邮件地址。
- 连接代码仓库。在 Ostorlab 平台上关联 GitHub、GitLab、Bitbucket、Azure DevOps 或自托管 Git，然后选择仓库。
为什么泄露的密钥最为关键
密钥泄露往往是攻击链的第一步。遗留在仓库中的令牌可能仍被您的 API 接受，并从移动应用中使用。单独扫描各部分时可能看不出问题，但将它们结合起来就形成了一条攻击路径。Ostorlab 的付费多资产扫描会联合测试代码、API 和应用，发现这些路径。关于密钥如何泄露以及如何验证，请参阅发现与验证硬编码密钥及秘密信息。
免费扫描不涵盖哪些内容
免费扫描不会构建代码、运行代码或尝试利用发现的问题。要确认哪些发现确实可在运行中的应用内被利用，请使用 Agentic Deep Scan。关于两者如何配合，请阅读 AI 智能体能在运行时证明 SAST 发现吗？。
想先比较工具？请参阅 2026 年最佳 SAST 工具。
在您自己的代码上试用：免费扫描源代码。
常见问题
有针对 GitHub 仓库的免费 SAST 工具吗？ 有。Ostorlab 可免费扫描 GitHub、GitLab、Bitbucket、Azure DevOps 和自托管 Git 仓库，也支持 .zip 归档文件。
免费源代码扫描能发现硬编码密钥吗？ 能。它会查找提交到代码中的凭据，例如 AWS 密钥、API 令牌、私钥和数据库密码。
免费源代码扫描会运行我的代码吗？ 不会。它对代码、依赖和密钥进行静态分析，不会构建或执行任何内容。
支持哪些语言？ 扫描覆盖多语言和混合语言仓库。请查看支持语言的完整列表。