Diese Liste von Werkzeugen zur statischen Codeanalyse enthält Werkzeuge, mit deren Hilfe man Statische Code-Analyse betreiben kann.
Derartige Werkzeuge können meist nicht nur allein stehend laufen, sondern auch integriert in die Entwicklungsumgebung bzw. in den Build Server. Sie beschränken sich nicht nur auf Kodierungsregeln wie beispielsweise die MISRA-C-Regeln, sondern erkennen auch funktionale und technische Fehler, potentielle Fehler sowie auch qualitative Schwachstellen im Code (sogenannte ), wie zum Beispiel duplizierten Code (auch Software-Klone genannt). Einige Werkzeuge können den Code auch auf sicherheitsrelevante Programmierfehler wie zum Beispiel Pufferüberläufe oder Wettlaufsituationen prüfen. Weiters gibt es noch Werkzeuge, die auch Architekturmetriken und die Konformität des Codes mit der Architekturspezifikation prüfen.
Diese Liste ist nach Programmiersprachen aufgeteilt, beginnend mit Werkzeugen, welche mehrere Programmiersprachen unterstützen bzw. unabhängig von Programmiersprachen sind. Diese Werkzeuge werden nicht noch einmal bei den unterstützten Programmiersprachen aufgeführt.
Sprachunabhängige bzw. sprachübergreifende Werkzeuge App-Ray Werkzeug zum Auffinden von Sicherheitslücken und Datenschutzverletzungen in Android- und iOS-Apps. Unterstützt Bytecode (Java, Kotlin) und Binärcode (Swift, Objective-C). Axivion Bauhaus Suite Werkzeug für Code-, Design- und Architekturanalyse. Erhältlich für die Programmiersprachen Ada, C, C++, C# und Java. Black Duck Suite Werkzeug zur Analyse von Sourcecode und Binaries auf wiederverwendbaren Code, notwendige Lizenzen und potentielle Sicherheitsaspekte. BugScout Werkzeug zum Aufspüren potentieller Sicherheitsprobleme in Java, PHP, ASP und C# Webapplikationen. CAST Application Intelligence Platform Dashboard für die Messung von Codequalität und Produktivität. Unterstützt mehr als 30 Programmiersprachen sowie verschiedene Datenbanken. ChecKing Softwarequalitätsportal zur Darstellung der Qualität aller Phasen der Softwareentwicklung. Unterstützt statische Codeanalyse von Java, JSP, JavaScript, HTML, XML, .NET (C#, ASP.NET, VB.NET etc.), PL/SQL, embedded SQL, SAP ABAP IV, Natural/Adabas, C/C++, Cobol, JCL und PowerBuilder. Cigital SecureAssist Erweiterung für Integrierte Entwicklungsumgebungen, welche Sicherheitsprobleme während der Entwicklung aufzeigt. Unterstützt Java, .NET und PHP. Clang ein Compiler-Frontend für die Programmiersprachen C, C++, Objective-C und Objective-C++. Es verfügt im Vergleich mit anderen Compiler-Frontends über umfangreichere und genauere statische und dynamische Analysemethoden, die die Fehlersuche erleichtern. Codyze Open-Source-Werkzeug zur Prüfung der korrekten Verwendung von Kryptographie. Verwendet "Code Property Graphen" und unterstützt die Sprachen Java und C++/C. ConQAT (Continuous quality assessment toolkit) Ermöglicht diverse Qualitätsanalysen wie Architektureinhaltung, Prüfung auf doppelten Code, Qualitätsmetriken und kann diese auf einem Dashboard darstellen. Unterstützt unter anderen Java, C#, C++, JavaScript, ABAP und Ada. Coverity SAVE Kommerzielles Werkzeug zum Auffinden von Fehlern basierend auf dem Stanford Checker. Unterstützt die Sprachen C, C++, C# und Java. DMS Software Reengineering Toolkit Werkzeug zur Erkennung von Doppeltem Code, Totem Code und unpassendem Programmierstil. Unterstützt die Analyse von Sourcecode in C, C++, C#, Java, COBOL, PHP, VisualBasic und anderen Programmiersprachen. Feram Ein kommerzieller GitHub-basierter Dienst auf Basis anderer Open-Source-Tools. Unterstützt die Sprachen JavaScript, HTML, CSS, Python, Ruby, PHP, JSON, C, C++, C#, Objective C, D, Java, Pawn und VALA. Fluctuat Abstrakter Interpreter für die Validierung numerischer Eigenschaften von Ada und C/C++ Programmen. HP Fortify Source Code Analyzer Werkzeug zum Aufdecken von Sicherheitsproblemen in C/C++, Java, JSP, .NET, ASP.NET, ColdFusion, ASP, PHP, Visual Basic 6, VBScript, JavaScript, PL/SQL, T-SQL, Python und COBOL Programmen sowie Konfigurationsdateien. GrammaTech CodeSonar Erkennt potentielle Fehler (Bufferüberläufe, Memory-Leaks, …), prüft Concurrency und Sicherheit, visualisiert die Architektur und berechnet diverse Softwaremetriken für C-, C++- und Java-Code. Gamma Eine intelligente Software-Analyse-Plattform, die Probleme aus mehreren Linsen identifiziert: Design-Probleme, Code-Probleme, Duplizierungen und Metriken. Verfügbar für Java, C / C ++ und C #. IBM Rational AppScan Analysiert Sourcecode hinsichtlich Sicherheitslücken. Unterstützt C/C++, .NET, Java, JSP, JavaScript, ColdFusion, Classic ASP, PHP, Perl, VisualBasic 6, PL/SQL, T-SQL und COBOL Imagix 4D Erkennt insbesondere bei Embedded Applikationen Probleme mit Variablenverwendung, Task-Interaktionen und Mehrläufigkeit. Unterstützt auch beim Verstehen und Dokumentieren von C-, C++- und Java-Code. Infer Statische Codeanalyse entwickelt durch facebook. Kann C/C++, Objective-C und Java Code prüfen. Kalistick Eine Cloudbasierte Plattform für statische Code Analyse mit Praxistipps. Werkzeug zur Zusammenarbeit in agilen Teams. Kiuwan Softwarequalitätsportal zur Darstellung der Qualität aller Phasen der Softwareentwicklung. Unterstützt statische Codeanalyse von Java, JSP, JavaScript, HTML, XML, .NET (C#, ASP.NET, VB.NET etc.), PL/SQL, embedded SQL, SAP ABAP IV, Natural/Adabas, C/C++, Cobol, JCL und PowerBuilder. Klocwork Insight Erkennt Sicherheitslücken und andere technische Probleme inklusive Trend dieser Metriken. Unterstützt C, C++, C# und Java. Lattix Analysiert den Code um die Architektur aus dem Code zu erkennen, sie anhand des Codes zu definierten und schlussendlich zu refaktorisieren. LDRA Testbed Ein Software-Analyse und Test-Tool für die Sprachen C, C++, Ada83, Ada95 und Assembler (Intel, Freescale, Texas Instruments). MALPAS Software Static Analysis Toolset Ein Set an Tools für statische Codeanalyse für verschiedene Sprachen wie Ada, C, Pascal und Assembler (Intel, PowerPC and Motorola). Wird vor allem für sicherheitskritische Applikationen in Luftfahrt und Atomkraft verwendet. Moose Softwareanalyseplattform mit Werkzeugen um Software zu visualisieren, manipulieren und analysieren. Kann zu einer generischen Datenanalyseplattform ausgebaut werden. Unterstützt C, C++, Java, Smalltalk und .NET. Parasoft Statische Codeanalyse (Pattern- und Flow-basierend, In-line und Metriken) für C, C++, Java, .NET (C#, VB.NET etc.), JSP, JavaScript, XML und andere Programmiersprachen. Through a Development Testing Platform, static code analysis functionality is integrated with unit testing, peer code review, runtime error detection and traceability. Plugins für Visual Studio und Eclipse. Copy/Paste Detector (CPD) PMDs Erkennung doppelten Codes für beispielsweise Java, JSP, C, C++, ColdFusion, PHP und JavaScript Polyspace Verwendet abstract interpretation, eine auf formalen Methoden basierende Technik, um im Sourcecode bestimmte Laufzeitfehler zu finden bzw. zu beweisen, dass sie nicht vorhanden sind. Unterstützt C-, C++- und Ada-Code. Pretty Diff Werkzeug für sprachbezifischen Codevergleich mit Analyse, Code-Reduktion (Minifikation) und Quelltextformatierung. Protecode Analysiert den Zusammenhang zwischen einzelnen Modulen im Sourcecode und Binärdateien. Sucht nach Open-Source und Fremdcode und deren Lizenzen. Kann auch Sicherheitslöcher aufdecken. PVS-Studio Ein Software Analysewerkzeug für C, C++, C++11, C++/CX (Component Extensions), C#. ResourceMiner Analyse und Metriken von Architektur bis Codedetails, unterstützt die Entwicklung eigener Regeln für globale Codeänderungen und Codegenerierungen. Unterstützt mehr als 30 Programmiersprachen sowie alle großen Datenbanken. Simian - Similarity Analyser Analysiert Code (und auch HTML und XML) auf doppelten Code. Kann (sprachabhängig) zwischen Code und Kommentaren unterscheiden. Unterstützt Java, C#, C++, C, Objective-C, JavaScript (ECMAScript), COBOL, ABAP, Ruby, Lisp, SQL, Visual Basic, Groovy, JSP, ASP, HTML, XML.Simian Features SofCheck Inspector Statische Analyse des Codes hinsichtlich logischer Fehler, Race Conditions und redundantem Code. Kann Vor- und Nachbedingungen aus dem Code auslesen. Unterstützt Ada und Java. SonarQube Ein Qualitäts-Cockpit zum Managen der technischen Schulden: Unterstützt mit diversen Plugins Programmiersprachen wie ABAP, C, Cobol, C#, Flex, Forms, Groovy, Java, JavaScript, PHP, PL/SQL, Visual Basic, XML und Python. Sotoarc Architektur- und Qualitätsanalyse und -monitoring für C, C++, C#, Java und ABAP. Ermöglicht mittels Was-wäre-wenn Szenarien die Auswirkungen von Designänderungen durchzuspielen. SQuORE Monitoring Werkzeug für verschiedene Programmiersprachen.Boris Baldassari: (PDF) International Conference on Software and Systems Engineering and their Applications, November 2012, Paris, France. Structure101 Visualisiert die Struktur der Software aus dem Code und prüft die Struktur gegen die definierte Architektur (Java, .Net, C/C++) Teamscale Commit-basierte inkrementelle Analysen für eine Vielzahl an Sprachen (Java, C#, JavaScript, ABAP, C/C++, Python etc.), u. a. Analyse von Architekturkonformität, redundantem Code, Kommentierung, Codestrukturierung und Namenskonventionen. Veracode Findet Sicherheitslücken in Binärdateien und Bytecode ohne den Sourcecode zu benötigen. Unterstützt C, C++, .NET (C#, C++/CLI, VB.NET, ASP.NET), Java, JSP, ColdFusion, PHP, Ruby on Rails und Objective-C. Kann auch mobile Applikationen für die Windows Mobile, Blackberry, Android und iOS Plattformen prüfen. Visual Studio Team System Analysiert C++- und C#-Code. Yasca Yet Another Source Code Analyzer, ein plugin-basierendes Framework um Dateien unterschiedlichen Typs zu scannen. Kommt mit Plugins für C/C++, Java, JavaScript, ASP, PHP, HTML/CSS, ColdFusion, COBOL und andere Filetypen. Lässt sich mit anderen Werkzeugen zur statischen Codeanalyse wie FindBugs, PMD und Pixy integrieren.
.NET .NET Compiler Platform (Codename "Roslyn") – Compiler Framework für C# und VB.NET mit API zur Analyse und Manipulation von Code. CodeIt.Right Werkzeug für statische Code Analyse und automatisiertes Refactoring in Richtung Best Practices. Ermöglicht eine automatische Korrektur von Fehlern und Verletzungen. Unterstützt C# und VB.NET. CodeRush Ein Plugin für Visual Studio. Erweitert Visual Studio unter anderem durch Warnungen bei Verletzungen von Best Practices basierend auf statischer Codeanalyse. FxCop Statische Codeanalyse für .NET Programme, die gegen die Common Intermediate Language kompilieren. Läuft standalone und integriert in einige Microsoft Visual Studio Editionen. NDepend Schwesternprojekt zu JDepend. Analysiert und visualisiert Abhängigkeiten und Zyklen im Code. Erlaubt es Design-Regeln zu definieren und prüfen, kann Impact-Analysen erstellen und verschiedene Versionen des Codes miteinander vergleichen. Integriert in Visual Studio. StyleCop Analysiert C# Sourcecode und prüft Codestyleregeln und Konsistenzregeln. Läuft integriert in Microsoft Visual Studio oder in einem MSBuild Projekt.
ABAP ABAP Test Cockpit (ATC) Ein zentrales Qualitätsprüfungswerkzeug für ABAP-Anwendungen in SAP-Landschaften; Nachfolger des SAP-internen Tools CheckMan, des SAP Code Inspectors (SCI) und der erweiterten Programmprüfung (SLIN) SAST Code Security Advisor Ein zur SAST Suite gehörendes SAP-Add-On, das ABAP Code unter Berücksichtigung des konkreten Kontextes auf Schwachstellen wie Sicherheits- und andere Qualitätsmängel prüft. Der SAST CSA prüft in Übereinstimmung mit gängigen Empfehlungen wie die der OWASP auf alle kritischen Schwachstellen. Durch die Prüfung direkt im SAP-System kann das Tool den Kontext einer Fundstelle in die Einschätzung einbeziehen und liefert so qualitativ hochwertige Ergebnisse mit geringer False Positive Rate. Virtual Forge CodeProfiler