代码与数据流
注入、命令执行、不安全的反序列化、XSS、路径及其他易受攻击的模式。结合规则与文件内数据追踪，提供位置和上下文，便于逐项审查。
现已可用
ORYON CODE SECURITY
更早发现，结合更多上下文做决策。
将代码、依赖和配置与团队所需的上下文连接起来，支持修复、审查和持续开发。
- 代码
- 软件包
- 配置
Oryon Code
- 附带上下文的问题发现
- AI 辅助变更
- 历史与报告
代码一行，关联全局。
从首次发现到完成修复。一次分析，将代码、软件包、凭证和配置中的风险与团队工作联系起来。
依赖项与更新
软件包清单、已知漏洞、CVE/GHSA 标识符和已修复版本。区分 patch、minor 和 major 变更，并提供迁移审查指引。
密钥与基础设施
检查 Terraform、Bicep、Kubernetes、Docker 和流水线中暴露的凭证及不安全设置。在进入生产环境前，审查仓库中声明的配置。
AI 应用与 MCP
针对提示词注入模式、进入执行流程的模型输出、危险工具、暴露的密钥和代理权限提供规则。同时审查 MCP 配置、钩子和指令文件。
质量与兼容性
检查正确性、可维护性、性能和已弃用 API 模式。针对配置的目标提供兼容性审查说明，并在依赖项变更 major 版本时提供额外指引。
从理解上下文到落实变更
AI 辅助说明和修复建议、共享抑制项、Issue 草稿及报告。由团队审查变更，并决定何时应用。
语言与格式
覆盖范围取决于语言、规则和配置档案。模板与配置可能使用通用规则，分析会明确显示限制及部分结果。
- 代码
- JavaScript / JSX · TypeScript / TSX · Python · Java · C# / .NET · Go · PHP · Ruby · Rust · Kotlin · Swift · Scala · C / C++ · Apex · Solidity · Bash · Elixir · Clojure · OCaml
- 模板
- Vue · ERB / RHTML · EJS · Handlebars / HBS · Mustache · Nunjucks / NJK · Pug / Jade · Jinja / Jinja2 / J2 · FreeMarker · Velocity · Liquid · Twig · JSP / JSPX · PHP / Blade · EEx / HEEx
- 配置
- Terraform (AWS / Azure / GCP) · Azure Bicep · AWS JSON · Kubernetes · Dockerfile / Containerfile · Compose · GitHub Actions · GitLab CI · Azure Pipelines · Bitbucket Pipelines · CircleCI · CI / Jenkins · Argo · OpenAPI / Swagger · Nginx · Gradle · Visualforce
- 软件包生态
- npm / Yarn / pnpm · Python / pip / Pipenv / Poetry / uv · Ruby / Bundler · PHP / Composer · Rust / Cargo · Go · JVM / Maven / Gradle / Leiningen · .NET / NuGet · Dart / Pub · Elixir / Mix
分析什么，由哪个引擎完成。
OpenGrep 和 OSV 负责检测。Oryon 的各层能力补充上下文、兼容性、辅助功能和共享结果视图。
专业引擎，协同发力。
-
OpenGrep
-
OSV-Scanner
-
MDN
Oryon
代码、密钥与配置
在本地检测项目文件。
-
OpenGrep + Oryon 规则
- 对代码、密钥、基础设施、流水线及 AI/MCP 安全进行静态分析。将模式匹配与文件内数据追踪结合，并通过配置档案和排除项适配仓库。
软件包与版本
从清单到受影响版本，再到已修复的替代版本。
-
OSV-Scanner / OSV-Scalibr
- 从仓库扩充软件包及其关系清单，包括 Maven 项目。扩展和 CI 会自动尝试运行；不可用时由内置分析器提供替代。
-
Oryon 分析器 + OSV API
- 提取软件包和版本，并与 OSV 安全公告核对。关联 CVE/GHSA 标识符、严重程度、说明和已修复版本，为每项发现提供明确的后续行动。
-
Oryon 更新分析
- 将公告中的已修复版本分为 patch、minor 或 major 更新。突出较大的版本跨度，准备迁移审查步骤，不自动修改依赖文件。
上下文与决策
帮助理解、审查和沟通待完成的工作。
-
OpenAI · 修复辅助
- 解释原因、风险和影响，并提出变更、diff、工作量及验证检查建议。可用性取决于套餐和配置，由用户在编辑器中审查并应用建议。
-
Oryon AI 分诊 · 两阶段审查
- 可选功能，默认关闭。首次审查建议排除误报，二次审查核对证据。如有不确定性或出现错误，会保留发现项。使用 OpenAI 模型。
-
MDN Browser Compat Data + Oryon 目录
- 查询浏览器对 String.replaceAll 的支持，并根据配置的目标提供 API、运行时、框架和工具的审查说明。检查内容因规则而异。
-
Pro 报告综合 · OpenAI
- 将已存储的结果整理为 Pro PDF 中的管理层优先事项、业务风险和行动计划。汇总证据及评估限制，不会再次运行扫描。
静态分析在本地运行。依赖清单和查询可能使用外部服务；AI 功能会将请求的代码上下文发送给已配置的提供商。
Oryon Dashboard
共享视图，决策更清晰。
开发与安全团队基于同一上下文协作。在一个平台上比较分析、跟踪风险变化并分享审计报告。
0:00
视频无法加载。请刷新页面重试。
深入了解平台
审计可追溯性
通过扫描历史、带有作者和日期的抑制项及 API 操作日志，审查项目活动。
工作区访问
Google、Magic Link 与 SSO 流程均与公司范围角色绑定。
多租户隔离
项目、扫描与发现项按公司天然隔离。
批量导入 API
可创建项目和扫描，或从 IDE 与 CI 同步发现项和依赖数据。
编辑器、CI、平台，共享上下文。
用同一工作流连接修复代码的人、审查发布的人，以及跟踪团队安全进展的人。
在编辑器中
- 编辑或保存时扫描，也可启动文件或仓库扫描；设置配置档案和排除项。
- 筛选结果、打开对应位置，查看严重程度、上下文及规则提供的 CWE/OWASP 信息。
- 审查 AI 说明和修复建议，再明确执行变更。
- 标记或恢复共享误报，导出 JSON/CSV，并准备 GitHub 或 GitLab Issue。
- 将仓库关联到项目，并切换组织或工作区。
每次交付时
- 通过 OIDC 和项目令牌，在 GitHub Actions 与 Azure Pipelines 中运行同一分析核心。
- 发布 JSON 结果和 Markdown 摘要，以 SARIF 导出代码发现项。
- 按团队需要设置严重程度阈值，以停止流水线；此功能默认关闭。
- 复用项目抑制项，并控制结果上传与 AI 使用。
面向整个团队
- 整理项目，按严重程度、技术和状态查看结果。
- 比较扫描，区分新增、已解决和持续存在的发现项，以及严重程度或版本变化。
- 查看历史、误报，以及完整、部分、失败或未验证的覆盖状态。
- 下载 PDF 审计报告，以及代码和依赖发现项的 CSV 导出文件。
- 根据配置管理邀请、管理员、经理、开发者或查看者角色，以及 SSO/OIDC 选项。
使用您已有的工具。
编辑器、代码仓库和平台融入工作流程。
VS CodeCursorAntigravityVSCodiumWindsurf
GitHub
GitLab
每种集成，各有其用。
适用于兼容 VS Code 的编辑器的扩展。GitHub 和 GitLab 支持创建带有发现项上下文的 Issue 草稿。
GitHub Actions 和 Azure Pipelines 在 CI 中运行分析。Docker、Kubernetes、Terraform 及其他流水线文件作为仓库的一部分进行分析。
