攻防与审计

在编译期捕获 Java 常见错误的静态分析工具，把容易写错的代码模式直接变成编译报错，帮团队在提交前就拦住低级 bug。

在编译期静态检查 Java 代码中的空指针隐患，构建开销很低，能提前发现 NPE 而不是等运行时崩溃。

spotbugs

spotbugs·Java

SpotBugs 是 FindBugs 的继任者，通过静态分析 Java 字节码来发现潜在缺陷和危险写法，帮你在提交前揪出空指针、资源泄漏这类问题。

soot

soot-oss·Java

Java 字节码分析与优化框架，把 Java 和 Android 代码转成 Jimple 中间表示，方便做静态分析和程序优化。

find-sec-bugs

find-sec-bugs·Java

基于 SpotBugs 的静态代码扫描插件，专门给 Java Web 和 Android 应用做安全审计，能查 CWE 类漏洞并支持污点分析。

一款带 GUI 的 JAR 包分析工具，能反编译、搜索方法调用链、做污点分析和 JAR 差异对比，帮安全人员快速定位 Java 漏洞。

Tai-e

pascal-lab·Java

面向 Java 和 Android 的静态分析框架，上手门槛低，能构建调用图并做污点分析，适合做代码安全与质量检查。