开发人员必备 | 2025国内TOP5免费开源安全工具

OpenSCA

国内排名第一、用户量最多的开源SCA工具，组件漏洞扫描神器，可扫描项目依赖关系，检测已知安全漏洞和许可证风险。能分析多种项目类型，支持 Java、.NET等语言，可集成到Maven、Gradle等构建工具中，帮助开发人员在构建过程中自动检测漏洞，还可生成详细报告和SBOM（软件物料清单），列出发现的漏洞及相关信息，并支持SBOM格式互转。

Xray

Xray是一款功能强大的Web漏洞扫描神器，检测速度快、发包速度快; 漏洞检测算法效率高、支持范围广。大至 OWASP Top 10 通用漏洞检测，小至各种 CMS 框架 POC，均可以支持。代码质量高，编写代码的人员素质高, 通过 Code Review、单元测试、集成测试等多层验证来提高代码可靠性。

GobyGoby

是一款基于网络空间测绘技术的新一代网络安全工具，它通过给目标网络建立完整的资产知识库，进行网络安全事件应急与漏洞应急。目前预置了超过10万种规则识别引擎，能够针对硬件设备和软件业务系统进行自动化识别和分类，全面的分析出网络中存在的业务系统。

Hfish

HFish是一款社区型免费蜜罐，由微步在线开源，侧重企业安全场景，从内网失陷检测、外网威胁感知、威胁情报生产三个场景出发，为用户提供可独立操作且实用的功能，通过安全、敏捷、可靠的中低交互蜜罐增加用户在失陷感知和威胁情报领域的能力。

ARL资产灯塔

ARL资产侦察灯塔系统由斗象TCC团队开发，旨在快速侦察与目标关联的互联网资产，构建基础资产信息库。 协助甲方安全团队或者渗透测试人员有效侦察和检索资产，发现存在的薄弱点和攻击面。