源代码审计

信通院供应链安全&软件应用安全评估近几年，信通院发布了供应链安全和软件应用安全相关的一些标准以及评估模型，同时开展企业评估认证工作。这些也正是在安全形势日益严峻，且国内企业迫切需要自己国家的安全相关标准的评估和认证，也便于对企业进行供应链安全建设、软件应用安全建设成果的评估。这些评估模型和认证主要包括：

MISRA C++ 2008 标准解析MISRA C++ 2008是《汽车专用软件的C++语言编程指南》，是针对C++语言的安全编码标准，适用C++ 03标准，是汽车行业公认的C++语言编码规范，目的是在研发生命周期早期发现软件中的缺陷，预防成本投入会大幅度降低投产后的售后维护成本。

MISRA C 2012 标准浅析MISRA(The Motor Industry Software Reliability Association)，汽车工业软件可靠性联会； 1994年，英国成立。致力于协助汽车厂商开发安全可靠的软件的跨国协会，其成员包括：AB汽车电子、罗孚汽车、宾利汽车、福特汽车、捷豹汽车、路虎公司、Lotus公司、MIRA公司、Ricardo公司、TRW汽车电子、利兹大学和福特VISTEON汽车系统公司。

CWE/SANS TOP 25 2022我整理了CWE/SANS TOP25 2022年的这25类缺陷，分类适合的开发语言，其实主要是C/C++语言的缺陷相对于Java、PHP、Python、C#等更高级的语言的不同，所以分为适合C/C++语言和其它语言。但是大家不要纠结，例如SQL难道C/C++语言程序没有吗？答案肯定是有，但是相对出现较少，而且C、C++语言程序大家关心的更多是运行时缺陷，而不是安全漏洞，因为C/C++语言应用的场景大多是在嵌入式环境下，驱动硬件设备等，物理隔绝的情况比较多，更多关心的程序本身的是否导致异常，而不是被外界攻

QAC支持的静态度量属性上面介绍了Coverity支持的12个度量属性，下面我们看看QAC这款工具支持的度量属性。下面分成3类，函数度量、文件度量和类度量。