代码检查安全增强
CodeArts Check提供代码安全检查增强包的能力，其安全检查能力作为深度价值特性，能深度识别代码中安全风险和漏洞，提供了套餐包内规则不覆盖的安全类场景，比如数值错误、加密问题、数据验证问题等。针对业界的安全漏洞检测项提供了更深入的分析能力，如跨函数、跨文件、污点分析、语义分析等。
当前代码安全检查增强包一共有284条规则，涵盖Java语言61个, C++ 语言199个, Go语言8个, Python语言16个。
检测项 | OWASP TOP | CWE TOP | 详细描述 | 基础版 | 专业版/代码安全增强包 |
|---|---|---|---|---|---|
命令注入 | 支持 | 支持 | 攻击者利用外部输入构造系统命令，通过可以调用系统命令的应用，实现非法操作的目的。 | 支持 | 支持 |
路径遍历 | 不支持 | 支持 | 攻击者利用系统漏洞访问合法应用之外的数据或文件目录，导致数据泄露或被篡改。 | 不支持 | 支持 |
SQL注入 | 支持 | 支持 | 攻击者利用事先定义好的查询语句，通过外部输入构造额外语句，实现非法操作的目的。 | 支持 | 支持 |
未受控的格式化字符串 | 不支持 | 支持 | 攻击者可利用格式化字符串漏洞实现控制程序行为和信息泄露。 | 不支持 | 支持 |
跨站脚本攻击（XSS） | 支持 | 支持 | 攻击者利用在网站、电子邮件中的链接插入恶意代码，盗取用户信息。 | 不支持 | 支持 |
LDAP注入 | 支持 | 支持 | 利用用户输入的参数生成非法LDAP查询，盗取用户信息。 | 不支持 | 支持 |
不安全的反射 | 支持 | 支持 | 攻击者利用外部输入绕过身份验证等访问控制路径，执行非法操作。 | 不支持 | 支持 |
开放重定向漏洞 | 不支持 | 支持 | 攻击者可通过将跳转地址修改为指向恶意站点，即可发起网络钓鱼、诈骗甚至窃取用户凭证等。 | 不支持 | 支持 |
XPath注入 | 支持 | 支持 | 攻击者利用外部输入附带恶意的查询代码，用于权限提升等。 | 支持 | 支持 |
数组索引验证不正确 | 不支持 | 支持 | 造成越界读取内存，可能引发信息泄露或者系统崩溃。 | 不支持 | 支持 |
空指针解引用 | 不支持 | 支持 | 会造成不可预见的系统错误，导致系统崩溃。 | 支持 | 支持 |
日志中信息泄露 | 不支持 | 支持 | 服务器日志、Debug日志中的信息泄露。 | 不支持 | 支持 |
消息中信息泄露 | 不支持 | 支持 | 通过错误消息导致的信息暴露。 | 支持 | 支持 |
