Las mejores alternativas aCodeQL

CodeQL es un motor de análisis semántico de código desarrollado por GitHub, diseñado para equipos de seguridad e ingenieros que buscan identificar vulnerabilidades en bases de código. Su objetivo principal es permitir a los usuarios consultar el código como si fuera un conjunto de datos, facilitando la detección de patrones inseguros y variantes de vulnerabilidades específicas.

Entre sus funciones destacadas se encuentran:

• Análisis semántico para interpretar la lógica del código más allá de la sintaxis.
• Consultas personalizadas que permiten buscar variantes de vulnerabilidades conocidas.
• Trazado de taint para seguir el flujo de datos desde fuentes hasta sumideros.
• Integración con VS Code para ejecutar consultas directamente en el editor.
• Creación de bases de datos de código mediante la línea de comandos.

El software es gratuito para investigación académica y proyectos de código abierto bajo licencias OSI aprobadas. Sin embargo, su uso en flujos de integración continua o entrega continua para código propietario requiere contactar al equipo de ventas. Esta restricción de uso y su enfoque específico en seguridad pueden llevar a algunos usuarios a buscar alternativas más flexibles o generalistas para el análisis estático de código.