Bearer：代码安全与隐私扫描工具

项目简介

Bearer（Bearer CLI）是一款开源的静态应用安全测试（SAST）工具，用 Go 编写。它扫描源代码并分析数据流，帮助开发者发现、过滤和优先排序安全与隐私风险。项目提供免费开源的 Bearer CLI，以及由 Cycode 提供的商业版本 Bearer Pro。

主要功能

• 安全风险与漏洞扫描：内置规则覆盖 OWASP Top 10 和 CWE Top 25，例如：
  • A01 访问控制：路径穿越、开放重定向、敏感信息暴露
  • A02 加密失败：弱算法、不安全通信
  • A03 注入：SQL 注入、输入校验、XSS、XPath
  • A04 设计缺陷：敏感数据未加密、含敏感信息的持久化 Cookie
  • A05 安全配置错误：Cookie 或 JWT 中明文存储敏感信息
  • A07 认证失败：硬编码密码、证书校验不当
  • A08 数据完整性失败：不可信数据反序列化
  • A09 日志与监控失败：日志文件写入敏感信息
  • A10 服务端请求伪造（SSRF）
• 隐私风险检测：识别 PII、PHI 等敏感数据在应用中的流转，并识别处理敏感数据的组件（如 PostgreSQL 等数据库、OpenAI、Sentry 等第三方 API），可生成用于 PIA、DPIA 和 GDPR 的 RoPA 的隐私报告。
• 数据发现与分类：通过源码中的模式匹配识别 120+ 数据类别，只分析代码本身，不读取数据实际值。
• 报告输出：默认输出安全报告，包含触发的规则、命中的文件位置与行号，以及按 CRITICAL / HIGH / MEDIUM / LOW / WARNING 分级的统计汇总。
• 支持语言（开源 CLI）：Go、Java、JavaScript、TypeScript、PHP、Python、Ruby。
• 多种扫描器：scan 命令默认使用 SAST 扫描器，还提供其他扫描器类型。

安装与使用

使用安装脚本（自动选择适配架构的版本，默认装到 ./bin）：

curl -sfL https://raw.githubusercontent.com/Bearer/bearer/main/contrib/install.sh | sh

Homebrew：

brew install bearer/tap/bearer

此外还提供 Debian/Ubuntu、RHEL/CentOS 软件源、Docker 镜像（bearer/bearer）以及从 Releases 页面下载二进制包等安装方式。

对项目目录执行扫描：

bearer scan juice-shop

默认会输出安全报告，包含规则列表、每条发现的文件位置与代码行，以及统计摘要，例如：

59 checks, 40 findings

CRITICAL: 0
HIGH: 16 (CWE-22, CWE-312, CWE-798, CWE-89)
MEDIUM: 24 (CWE-327, CWE-548, CWE-79)
LOW: 0
WARNING: 0

跳过某条规则可使用 --skip-rule=javascript_lang_session 这类参数。更多配置与用法见官方文档 https://docs.bearer.com 。

注意事项

• 开源版与商业版能力不同：Bearer Pro 在 CLI 支持的语言之外，还提供 Java、Python、C#、Go 的跨文件分析，并额外支持 C#、Kotlin、Elixir、VB.Net、Rust、Swift。
• 扫描耗时取决于代码库规模，可能短至 20 秒，超大型代码库则需要几分钟。
• 隐私检测只分析源码中的模式，不会查看真实的敏感数据值。

本作品整理自 GitHub 开源项目 Bearer/bearer，原作者 @Bearer。中文介绍由 AI 根据项目 README 整理，以原仓库为准。