选择代码静态检测工具时需考虑哪些指标

选择代码静态检测工具时需考虑以下指标：

• 支持的开发语言：虽然很多检测工具都宣称能扫描多种开发语言，但所支持的开发语言检测的效果到底怎么样，这需要企业自己去做横向比较。

• 漏报率：通常使用含有已知漏洞的应用程序，比如WebGoat、DVWA之类的漏洞学习平台，来验证静态检测工具的漏报率。比如已知漏洞是1300个，实际扫描后只发现了75个，则漏报率为25%。

• 误报率：是指在发现的漏洞中，不是漏洞而误报为漏洞的比例。比如报告出漏洞是100个，实际验证后发现了25个不是漏洞，则误报率为25%。

• 运行环境与配置：是指静态检测工具运行的操作系统环境、机器配置、内存等，有的静态检测工具只允许运行在Windows环境下，有的静态检测工具则在Windows、Linux、UNIX下均可以；有的可以；与CI/CD集成，有的则不可以，这是在工具安装时需要考虑的。

• 报告格式：是指检测结果所提供的展现形式，一般有HTML、Word、PDF、Excel格式等。

• 报告内容：是指是否支持根据不同的漏洞等级或检测规则导出不同的报告结果数据。

• 性价比或购买方式：是指付款和使用方式，比如同样的费用下使用期限是多久、维保多久、是否支持API调用、是否可以支持同时多个用户并发等。