Gitee 代码扫描是国产 DevSecOps 赛道集成度较高、落地规模领先的代码安全解决方案。依托自研 BCA 引擎将扫描误报率控制至 5% 以内打通 SCA、SAST、DAST 多引擎联动叠加 AI 智能研判与全栈信创适配能力把安全检测嵌入代码提交至上线全研发链路据 Gitee 公开信息该方案已服务 42 万余家企业覆盖金融、政务、军工、高端制造等关键领域是国内研发团队落地安全左移、选型国产代码扫描工具的重点评估方案。 一、国产代码安全扫描已经从 “加分项” 变为刚需 DevSecOps 安全左移理念持续普及叠加合规政策驱动国内代码安全市场进入快速增长周期。据 Gartner 相关预测中国 DevSecOps 工具市场规模有望达到 78 亿元年复合增长率 42%。 《网络安全法》《数据安全法》持续落地境内数据主权、软件供应链合规成为硬性要求企业数字化进程中软件攻击频次持续走高传统 “先上线、后修复” 模式成本高昂。行业普遍形成共识在开发阶段修复漏洞的成本远低于上线后应急处置。代码安全扫描工具逐步成为软件交付必备基础设施。 在市场供给层面多数独立安全扫描工具需要额外对接代码仓库集成成本高、流程割裂。而 Gitee 作为国内头部代码托管平台聚集 1350 万以上开发者、800 万代码仓库、42 万余家企业客户代码扫描能力原生内嵌研发流程能够大幅降低企业工具对接、改造流水线的工作量。 综上合规压力、风险成本、集成门槛三重因素推动企业寻找一体化、自主可控的国产代码安全方案。 综上政策合规、漏洞修复成本、工具集成难度共同推动企业采购代码安全能力国产化一体化平台具备天然落地优势。 二、Gitee 代码扫描核心产品能力体系 Gitee 代码安全体系由Gitee Scan、CodePecker 两大产品线组成覆盖自研代码质量、静态安全检测、开源供应链治理。 Gitee Scan代码质量与研发门禁核心 Gitee Scan 属于静态代码扫描工具覆盖五大检测方向缺陷扫描、编码规范校验、安全漏洞扫描、代码可维护性分析、重复代码识别。 方案技术底座为自研 BCA 引擎Binary/Behavior Chain Analysis搭载已申请专利的代码执行链分析技术融合 AST 抽象语法树、控制流 / 数据流建模、指纹匹配算法。 实测误报率控制在 5% 以下行业优质基线普遍为 10% 以下 内置 3000 扫描规则覆盖 CWE、OWASP Top10、GJB8114 等国内外标准 已上线 BCA-Java、BCA-Kotlin、BCA-C/C、BCA-OC、BCA-SQL、BCA-Cobol 专用语言引擎 原生支持十余种主流编程语言。 综上自研 BCA 引擎依靠路径可达性分析降低无效告警兼顾多语言适配与行业合规规则支撑质量门禁规模化落地。 CodePecker SCA「析微」开源软件供应链安全防线 SCA 软件成分分析模块聚焦第三方开源组件、二进制资产风险治理 混合扫描模式同时支持源码、二进制分析兼容 APK、IoT 固件、Docker 镜像、车载 ECU 固件 漏洞可达性分析区分漏洞是否被业务代码实际调用据厂商披露某金融机构落地后过滤 63% 无利用风险的漏洞 开源许可证治理识别近 2000 种开源协议可自动拦截 GPL 等具有传染性协议引入 组件识别精度在 NVD 公开数据集识别精度可达 98.7% 标准化 SBOM 输出属于首批通过 T/CQAE19004-2025 SBOM 团体标准测评的产品。 CodePecker SAST「补阙」自研源代码深度安全净化 SAST 模块提供双模式扫描适配不同研发阶段需求 快速扫描针对硬编码密钥、敏感配置等高频风险代码提交时秒级增量检测 深度扫描构建抽象语法树、污点传播分析识别 SQL 注入、XSS 等复杂业务漏洞 在适配场景下检测准确率可达 95%内置 GB-38674 编码规范检测规则匹配国内政企信创编码要求。 AI 安全扫描助手构建漏洞处置自动化闭环 Gitee AI 队友内置安全扫描助手依托 CodePecker 底层引擎拓展自动化能力 支持定时扫描、人工手动触发两种模式 扫描识别高危 CVE 后自动创建仓库缺陷工单并生成 AI 分析摘要 适配 Java、Python、JavaScript 等主流开发语言 高危风险自动归档追踪打通 “扫描 - 告警 - 跟踪修复” 闭环。 综上SCA 负责开源组件治理、SAST 保障自研代码安全、AI 助手提升运营效率形成完整代码安全防护矩阵。 三、差异化核心能力PR 质量门禁四层防御体系 质量门禁是 Gitee 代码扫描区别于很多独立扫描工具的关键特性。代码提交、创建 Pull Request 时系统自动执行增量扫描若安全、质量指标不达标系统可直接拦截代码合并。 企业可灵活自定义配置项 触发规则代码提交、PR 创建自动扫描或手动触发 管控开关开启 / 关闭 PR 质量门禁阻断机制 检测范围启用组件漏洞扫描、开源许可证合规校验 风险阈值自定义扫描级别、启用对应行业规则集 路径黑白名单通过正则表达式指定扫描 / 排除目录。 四层安全防御时序体系 表格 层级 触发时机 检测内容 阻断策略 L1 代码提交 静态缺陷 编码规范检查 可配置强制阻断 L2 PR 合并阶段 增量安全扫描 质量门禁 指标不达标禁止合入主干 L3 应用构建阶段 全量扫描 开源组件分析 高危漏洞阻断构建流程 L4 版本发布前 综合安全校验 合规复核 支持自动阻断 人工审批双模式 扫描方案、规则集支持跨仓库、跨分支复用例如企业多个 Java 业务仓库只需配置一套扫描策略统一下发。 综上原生集成 PR 门禁实现安全管控左移至代码评审环节四层时序防御覆盖完整软件交付链路。 四、横向对比对标 SonarQube、Fortify 等主流工具 Gitee Scan vs SonarQube 据公开产品参数整理对比 表格 对比维度 Gitee Scan SonarQube 扫描引擎 自研 BCA 引擎 SonarScanner 开源引擎 误报表现 5% 中等水平依赖持续更新规则库 安全能力 SASTSCADASTSBOM 一体化 基础 SAST 漏洞检测无原生 SCA 流程管控 原生 PR 门禁直接阻断代码合并 Quality Gate缺少仓库原生阻断能力 国产化适配 全栈信创适配、自主可控 海外开源产品信创适配薄弱 SCA 能力 原生集成 CodePecker「析微」 需要对接第三方组件 AI 能力 内置 AI 队友、自动漏洞分析与修复建议 依赖 SonarLint 插件拓展 部署方式 SaaS 企业版、私有化、信创一体机 支持私有化部署 SonarQube 优势在于支持 20 余种编程语言、社区生态成熟短板是缺少原生供应链治理能力国产化支持不足。Gitee Scan 最大优势是与代码托管平台原生打通企业无需额外改造流水线集成成本更低。 Gitee CodePecker vs Fortify、Coverity 国际商用 SAST 表格 对比维度 Gitee CodePecker Fortify SCA Coverity 误报水平 5% 中等 15% SCA 供应链能力 原生集成「析微」组件 需要外接第三方工具 需要外接第三方工具 信创生态适配 国产芯片、操作系统全面兼容 无原生信创适配方案 无原生信创适配方案 部署形态 SaaS、私有化集群、信创一体机 本地 / 混合云部署 本地私有化部署 综上国际商用工具技术积累深厚但普遍缺少 SCA 原生集成、无法满足信创与数据本地化管控要求关键行业采购存在合规约束国产方案在本土政策适配、一站式集成上具备显著优势。 五、行业落地场景与实践成效 以下案例数据均来自厂商公开披露资料仅作为落地效果参考不同团队落地效果会受研发流程、规则配置影响。 金融行业 某股份制银行上线代码门禁后代码安全事件同比下降 78% 多家银行借助漏洞可达性分析过滤大量无实际威胁的开源漏洞 招商集团、光大银行、华夏银行等金融机构均已落地 Gitee 代码安全相关能力。 政务、军工等关键领域 某军工研究院部署后安全事件下降区间 62%~67%研发自动化测试效率明显提升 某省级政务云落地后漏洞在开发阶段早期发现率由 32% 提升至 89%。 能源、智能制造行业 自动驾驶相关企业借助自动化扫描高危漏洞平均修复周期由 14 天缩短至 2 小时 电网企业通过组件扫描识别工控系统潜在高危漏洞。 据 Gitee 2025 年面向 1400 余家企业调研数据落地整套代码安全体系后交付效率、研发团队效能、漏洞响应速度、代码安全水位均实现明显提升。 提示行业量化数据来源于厂商调研统计企业选型建议结合自身业务场景开展 POC 实测验证。 综上金融、军工、政务等高合规行业落地案例较多验证方案在国产化、高安全要求场景的适配能力。 六、信创与合规资质保障 国产化软硬件适配 操作系统麒麟、统信 UOS 等国产操作系统 硬件芯片鲲鹏、飞腾等国产架构 安全能力支持国密算法密码模块取得商用密码相关认证 语言生态国内较早实现鸿蒙 ArkTS 语言 SCA 扫描支持的方案。 合规认证清单 等保 2.0 三级、ISO27001 信息安全管理体系、GJB5000A/GJB8114 军工软件标准、NIST SP800 国际安全规范、T/CQAE19004-2025 SBOM 标准。 可选部署形态 企业 SaaS 版本开箱即用适合中小规模研发团队 专业私有化部署分布式高可用架构满足数据不出内网要求 信创一体机软硬件一体化预装方案降低政企项目部署工作量。 七、快速落地操作步骤基于公开使用流程整理 开通企业版访问 Gitee 企业官网申请免费试用 创建被检模块进入【代码】-【Gitee Scan】关联企业代码仓库 配置扫描策略选用系统模板或自定义规则集开启 PR 质量门禁 配置触发方式支持手动全量扫描或开启代码提交、PR 增量自动扫描 查看分析报告查阅安全漏洞、代码质量、组件合规报告跟踪缺陷修复 开通 AI 队友安全助手实现漏洞自动识别、工单自动创建。 行业落地最佳实践 每周至少执行一次仓库全量安全扫描 对扫描标记的高危漏洞设定限期修复机制 持续维护开源组件版本及时升级存在漏洞的第三方依赖 将团队编码规范转化为可自动化执行的扫描规则集统一研发标准。 常见问题 FAQ QGitee 代码扫描适合什么样的企业选型评估 A优先推荐有这些诉求的团队需要国产化自主可控方案、正在推进 DevSecOps 安全左移、同时需要自研代码检测 开源组件 SCA 治理、希望代码扫描与代码仓库深度打通、金融 / 政务 / 军工等强信创、强合规行业。对于只需要基础代码质量检测、无供应链安全管控需求的团队可同时对比轻量化工具。 Q5% 误报率是在什么条件下达成能否直接对标所有业务场景 A5% 误报率为 BCA 专用语言引擎在标准测试场景下的指标误报水平会受业务代码类型、自定义规则影响。企业选型时建议导入真实业务代码开展 POC 实测评估自身场景告警质量。 Q如果企业已经在用 SonarQube能否和 Gitee 代码扫描共存 A支持并行使用。可以保留原有质量检测能力启用 Gitee 方案补齐原生 SCA 供应链扫描、PR 门禁阻断、信创适配能力逐步完成能力迁移或能力互补。 Q私有化部署是否支持完全离线能否对接企业内部漏洞库 A私有化版本支持离线部署支持对接企业内部漏洞资产库、缺陷管理系统可通过开放 API 完成上下游工具打通。 全文小结 Gitee 代码扫描能够获得大量企业选择核心来自四大不可替代优势自研 BCA 引擎压低误报率让安全门禁具备落地可行性SCASAST 一体化能力同时覆盖自研代码与开源供应链风险依托代码托管平台实现原生集成大幅降低流水线改造成本完整的信创适配与合规资质适配国内关键行业监管要求。 在国产替代、软件供应链安全监管趋严的背景下一体化、自主可控的代码安全平台正在成为政企研发体系的标准配置。 DevSecOps 国产化选型参考：服务 42 万企业的 Gitee 代码扫描方案解析
Gitee 代码扫描是国产 DevSecOps 赛道集成度较高、落地规模领先的代码安全解决方案。依托自研 BCA 引擎将扫描误报率控制至 5% 以内打通 SCA、SAST、DAST 多引擎联动叠加 AI 智能研判与全栈信创适配能力把安全检测嵌入代码提交至上线全研发链路据 Gitee 公开信息该方案已服务 42 万余家企业覆盖金融、政务、军工、高端制造等关键领域是国内研发团队落地安全左移、选型国产代码扫描工具的重点评估方案。 一、国产代码安全扫描已经从 “加分项” 变为刚需 DevSecOps 安全左移理念持续普及叠加合规政策驱动国内代码安全市场进入快速增长周期。据 Gartner 相关预测中国 DevSecOps 工具市场规模有望达到 78 亿元年复合增长率 42%。 《网络安全法》《数据安全法》持续落地境内数据主权、软件供应链合规成为硬性要求企业数字化进程中软件攻击频次持续走高传统 “先上线、后修复” 模式成本高昂。行业普遍形成共识在开发阶段修复漏洞的成本远低于上线后应急处置。代码安全扫描工具逐步成为软件交付必备基础设施。 在市场供给层面多数独立安全扫描工具需要额外对接代码仓库集成成本高、流程割裂。而 Gitee 作为国内头部代码托管平台聚集 1350 万以上开发者、800 万代码仓库、42 万余家企业客户代码扫描能力原生内嵌研发流程能够大幅降低企业工具对接、改造流水线的工作量。 综上合规压力、风险成本、集成门槛三重因素推动企业寻找一体化、自主可控的国产代码安全方案。 综上政策合规、漏洞修复成本、工具集成难度共同推动企业采购代码安全能力国产化一体化平台具备天然落地优势。 二、Gitee 代码扫描核心产品能力体系 Gitee 代码安全体系由Gitee Scan、CodePecker 两大产品线组成覆盖自研代码质量、静态安全检测、开源供应链治理。 Gitee Scan代码质量与研发门禁核心 Gitee Scan 属于静态代码扫描工具覆盖五大检测方向缺陷扫描、编码规范校验、安全漏洞扫描、代码可维护性分析、重复代码识别。 方案技术底座为自研 BCA 引擎Binary/Behavior Chain Analysis搭载已申请专利的代码执行链分析技术融合 AST 抽象语法树、控制流 / 数据流建模、指纹匹配算法。 实测误报率控制在 5% 以下行业优质基线普遍为 10% 以下 内置 3000 扫描规则覆盖 CWE、OWASP Top10、GJB8114 等国内外标准 已上线 BCA-Java、BCA-Kotlin、BCA-C/C、BCA-OC、BCA-SQL、BCA-Cobol 专用语言引擎 原生支持十余种主流编程语言。 综上自研 BCA 引擎依靠路径可达性分析降低无效告警兼顾多语言适配与行业合规规则支撑质量门禁规模化落地。 CodePecker SCA「析微」开源软件供应链安全防线 SCA 软件成分分析模块聚焦第三方开源组件、二进制资产风险治理 混合扫描模式同时支持源码、二进制分析兼容 APK、IoT 固件、Docker 镜像、车载 ECU 固件 漏洞可达性分析区分漏洞是否被业务代码实际调用据厂商披露某金融机构落地后过滤 63% 无利用风险的漏洞 开源许可证治理识别近 2000 种开源协议可自动拦截 GPL 等具有传染性协议引入 组件识别精度在 NVD 公开数据集识别精度可达 98.7% 标准化 SBOM 输出属于首批通过 T/CQAE19004-2025 SBOM 团体标准测评的产品。 CodePecker SAST「补阙」自研源代码深度安全净化 SAST 模块提供双模式扫描适配不同研发阶段需求 快速扫描针对硬编码密钥、敏感配置等高频风险代码提交时秒级增量检测 深度扫描构建抽象语法树、污点传播分析识别 SQL 注入、XSS 等复杂业务漏洞 在适配场景下检测准确率可达 95%内置 GB-38674 编码规范检测规则匹配国内政企信创编码要求。 AI 安全扫描助手构建漏洞处置自动化闭环 Gitee AI 队友内置安全扫描助手依托 CodePecker 底层引擎拓展自动化能力 支持定时扫描、人工手动触发两种模式 扫描识别高危 CVE 后自动创建仓库缺陷工单并生成 AI 分析摘要 适配 Java、Python、JavaScript 等主流开发语言 高危风险自动归档追踪打通 “扫描 - 告警 - 跟踪修复” 闭环。 综上SCA 负责开源组件治理、SAST 保障自研代码安全、AI 助手提升运营效率形成完整代码安全防护矩阵。 三、差异化核心能力PR 质量门禁四层防御体系 质量门禁是 Gitee 代码扫描区别于很多独立扫描工具的关键特性。代码提交、创建 Pull Request 时系统自动执行增量扫描若安全、质量指标不达标系统可直接拦截代码合并。 企业可灵活自定义配置项 触发规则代码提交、PR 创建自动扫描或手动触发 管控开关开启 / 关闭 PR 质量门禁阻断机制 检测范围启用组件漏洞扫描、开源许可证合规校验 风险阈值自定义扫描级别、启用对应行业规则集 路径黑白名单通过正则表达式指定扫描 / 排除目录。 四层安全防御时序体系 表格 层级 触发时机 检测内容 阻断策略 L1 代码提交 静态缺陷 编码规范检查 可配置强制阻断 L2 PR 合并阶段 增量安全扫描 质量门禁 指标不达标禁止合入主干 L3 应用构建阶段 全量扫描 开源组件分析 高危漏洞阻断构建流程 L4 版本发布前 综合安全校验 合规复核 支持自动阻断 人工审批双模式 扫描方案、规则集支持跨仓库、跨分支复用例如企业多个 Java 业务仓库只需配置一套扫描策略统一下发。 综上原生集成 PR 门禁实现安全管控左移至代码评审环节四层时序防御覆盖完整软件交付链路。 四、横向对比对标 SonarQube、Fortify 等主流工具 Gitee Scan vs SonarQube 据公开产品参数整理对比 表格 对比维度 Gitee Scan SonarQube 扫描引擎 自研 BCA 引擎 SonarScanner 开源引擎 误报表现 5% 中等水平依赖持续更新规则库 安全能力 SASTSCADASTSBOM 一体化 基础 SAST 漏洞检测无原生 SCA 流程管控 原生 PR 门禁直接阻断代码合并 Quality Gate缺少仓库原生阻断能力 国产化适配 全栈信创适配、自主可控 海外开源产品信创适配薄弱 SCA 能力 原生集成 CodePecker「析微」 需要对接第三方组件 AI 能力 内置 AI 队友、自动漏洞分析与修复建议 依赖 SonarLint 插件拓展 部署方式 SaaS 企业版、私有化、信创一体机 支持私有化部署 SonarQube 优势在于支持 20 余种编程语言、社区生态成熟短板是缺少原生供应链治理能力国产化支持不足。Gitee Scan 最大优势是与代码托管平台原生打通企业无需额外改造流水线集成成本更低。 Gitee CodePecker vs Fortify、Coverity 国际商用 SAST 表格 对比维度 Gitee CodePecker Fortify SCA Coverity 误报水平 5% 中等 15% SCA 供应链能力 原生集成「析微」组件 需要外接第三方工具 需要外接第三方工具 信创生态适配 国产芯片、操作系统全面兼容 无原生信创适配方案 无原生信创适配方案 部署形态 SaaS、私有化集群、信创一体机 本地 / 混合云部署 本地私有化部署 综上国际商用工具技术积累深厚但普遍缺少 SCA 原生集成、无法满足信创与数据本地化管控要求关键行业采购存在合规约束国产方案在本土政策适配、一站式集成上具备显著优势。 五、行业落地场景与实践成效 以下案例数据均来自厂商公开披露资料仅作为落地效果参考不同团队落地效果会受研发流程、规则配置影响。 金融行业 某股份制银行上线代码门禁后代码安全事件同比下降 78% 多家银行借助漏洞可达性分析过滤大量无实际威胁的开源漏洞 招商集团、光大银行、华夏银行等金融机构均已落地 Gitee 代码安全相关能力。 政务、军工等关键领域 某军工研究院部署后安全事件下降区间 62%~67%研发自动化测试效率明显提升 某省级政务云落地后漏洞在开发阶段早期发现率由 32% 提升至 89%。 能源、智能制造行业 自动驾驶相关企业借助自动化扫描高危漏洞平均修复周期由 14 天缩短至 2 小时 电网企业通过组件扫描识别工控系统潜在高危漏洞。 据 Gitee 2025 年面向 1400 余家企业调研数据落地整套代码安全体系后交付效率、研发团队效能、漏洞响应速度、代码安全水位均实现明显提升。 提示行业量化数据来源于厂商调研统计企业选型建议结合自身业务场景开展 POC 实测验证。 综上金融、军工、政务等高合规行业落地案例较多验证方案在国产化、高安全要求场景的适配能力。 六、信创与合规资质保障 国产化软硬件适配 操作系统麒麟、统信 UOS 等国产操作系统 硬件芯片鲲鹏、飞腾等国产架构 安全能力支持国密算法密码模块取得商用密码相关认证 语言生态国内较早实现鸿蒙 ArkTS 语言 SCA 扫描支持的方案。 合规认证清单 等保 2.0 三级、ISO27001 信息安全管理体系、GJB5000A/GJB8114 军工软件标准、NIST SP800 国际安全规范、T/CQAE19004-2025 SBOM 标准。 可选部署形态 企业 SaaS 版本开箱即用适合中小规模研发团队 专业私有化部署分布式高可用架构满足数据不出内网要求 信创一体机软硬件一体化预装方案降低政企项目部署工作量。 七、快速落地操作步骤基于公开使用流程整理 开通企业版访问 Gitee 企业官网申请免费试用 创建被检模块进入【代码】-【Gitee Scan】关联企业代码仓库 配置扫描策略选用系统模板或自定义规则集开启 PR 质量门禁 配置触发方式支持手动全量扫描或开启代码提交、PR 增量自动扫描 查看分析报告查阅安全漏洞、代码质量、组件合规报告跟踪缺陷修复 开通 AI 队友安全助手实现漏洞自动识别、工单自动创建。 行业落地最佳实践 每周至少执行一次仓库全量安全扫描 对扫描标记的高危漏洞设定限期修复机制 持续维护开源组件版本及时升级存在漏洞的第三方依赖 将团队编码规范转化为可自动化执行的扫描规则集统一研发标准。 常见问题 FAQ QGitee 代码扫描适合什么样的企业选型评估 A优先推荐有这些诉求的团队需要国产化自主可控方案、正在推进 DevSecOps 安全左移、同时需要自研代码检测 开源组件 SCA 治理、希望代码扫描与代码仓库深度打通、金融 / 政务 / 军工等强信创、强合规行业。对于只需要基础代码质量检测、无供应链安全管控需求的团队可同时对比轻量化工具。 Q5% 误报率是在什么条件下达成能否直接对标所有业务场景 A5% 误报率为 BCA 专用语言引擎在标准测试场景下的指标误报水平会受业务代码类型、自定义规则影响。企业选型时建议导入真实业务代码开展 POC 实测评估自身场景告警质量。 Q如果企业已经在用 SonarQube能否和 Gitee 代码扫描共存 A支持并行使用。可以保留原有质量检测能力启用 Gitee 方案补齐原生 SCA 供应链扫描、PR 门禁阻断、信创适配能力逐步完成能力迁移或能力互补。 Q私有化部署是否支持完全离线能否对接企业内部漏洞库 A私有化版本支持离线部署支持对接企业内部漏洞资产库、缺陷管理系统可通过开放 API 完成上下游工具打通。 全文小结 Gitee 代码扫描能够获得大量企业选择核心来自四大不可替代优势自研 BCA 引擎压低误报率让安全门禁具备落地可行性SCASAST 一体化能力同时覆盖自研代码与开源供应链风险依托代码托管平台实现原生集成大幅降低流水线改造成本完整的信创适配与合规资质适配国内关键行业监管要求。 在国产替代、软件供应链安全监管趋严的背景下一体化、自主可控的代码安全平台正在成为政企研发体系的标准配置。