meterian.com 安全测评
软件供应链安全扫描
⚡ 评分构成
各维度得分依据公开资料与字段推算,加权后即综合评分,仅供参考。
- 覆盖 SCA、容器、IaC、IDE、SAST 和漏洞数据源，产品线较完整
- 强调不上传源代码，仅上传依赖清单或结构化发现元数据，适合重视知识产权保护的团队
- 可接入任意 CI/CD 流水线，并支持 GitHub Actions、GitLab CI、Jenkins、Azure DevOps 等场景
- 报告格式丰富，包含 SBOM、许可证信息、升级路径和可操作修复建议
- HEIDI 提供免费版本，降低开发者试用门槛
- 抓取正文未提供明确价格，预算评估需要联系销售或查看完整价格页
- 未看到 SOC 2、ISO 27001 等第三方合规认证信息
- SASHA 语言支持仍在逐步推出，正文称 Node.js 和 .NET 已完全可用，更多语言即将支持
- 中国大陆网络可达性、支付方式和本地化支持信息缺失
深度测评
是什么
Meterian 是一家英国 Meterian Ltd 提供的开源软件供应链安全平台，核心定位是开源漏洞扫描、软件成分分析 SCA 与许可证合规管理。产品覆盖代码库扫描 BOSS、容器扫描 BOSSC、IaC 扫描 ISAAC、漏洞数据源 KIWI、IDE 插件 HEIDI 和 SAST 工具 SASHA，面向开发、DevSecOps、应用安全、质量与风险管理团队。
核心能力
在防护类型上，Meterian 覆盖依赖漏洞、过期组件、许可证风险、容器镜像风险、IaC 配置问题和源码静态缺陷。其 SCA 报告可输出 SBOM、许可证与版权归属、升级路径，并支持 HTML、JSON、PDF、Console 等格式。SASHA 进一步提供 SARIF 输出，便于接入 GitHub Code Scanning、Azure DevOps 等生态。HEIDI 插件可在 VS Code、JetBrains、Cursor、Windsurf 等 IDE 中扫描 manifest 文件，并与 AI 编码助手和 MCP 集成，强调开发早期发现问题。
部署、管理与集成
Meterian 的主要扫描能力可接入任意 CI/CD 流水线，正文提到 GitHub Actions、GitLab CI、Jenkins、Azure DevOps 等场景。其重要卖点是隐私保护：SCA 和 HEIDI 不要求上传源代码，通常只处理依赖清单或结构化发现；SASHA 也称源码分析留在本地环境。KIWI 漏洞数据库可本地部署，支持离线使用、每日或更频繁更新，并提供不限调用的 API，适合内部安全平台集成。
定价与不足
定价信息不完整。页面只显示 Free plan、Enterprise Trial、Book a demo，以及 HEIDI 的 Free / Premium 模式；没有抓取到具体金额。合规认证方面，正文未披露 SOC 2、ISO 27001 等第三方认证。另一个限制是 SASHA 的语言支持仍在推进中，正文明确 Node.js 和 .NET 已完全可用，其他语言还在逐步推出。
适合谁与中国访问
Meterian 适合需要在 CI/CD 中持续治理开源依赖、容器和 IaC 风险，并重视 SBOM、许可证合规及源代码不外传的中大型研发团队；HEIDI 免费版也适合开发者轻量试用。中国大陆访问、支付方式和本地支持未见明确说明，china_access 只能评为未知。若需本地化采购或国内网络稳定性，可同时评估 Snyk、Mend、Sonatype、GitHub Advanced Security、Checkmarx、Veracode、Semgrep、JFrog Xray 等替代方案。
本测评基于公开资料整理,不构成购买建议,请以 meterian.com 官网实际信息为准。
中文卖点
覆盖依赖、容器和IaC漏洞，适合开发团队。
官网快照
价格走势
用户评价
评分明细(分布与用户短评)接入中。当前展示 TG4G 综合评分,数据源自公开测评与用户反馈。