openscanhub.dev

是什么

OpenScanHub 是一个静态与动态分析服务，目标是帮助开发者通过发现源码缺陷来提升项目安全性与稳定性。它默认使用 Cppcheck、ShellCheck、GCC 内置静态分析器、find-unicode-control 和 Clippy，并支持在提交扫描时按需启用其他分析工具。它既能分析 RPM 包，也能分析源码 tarball，因此对 Linux 发行版、RPM 包维护和开源项目发布流程较有针对性。

核心能力

其最突出的能力是差异扫描：可对比软件包的新旧版本，并报告新版本引入的问题，这对发布前质量门禁很有价值。OpenScanHub 还能通过 csmock 插件扩展，理论上可扫描任意类型源代码，并把多个分析器的报告集中到一处，降低开发者分别运行和汇总工具的成本。正文还提到它在 Red Hat 内部用于扫描 RHEL 发布版本及其他项目，说明其设计面向较大规模软件发行场景。

定价与部署

正文未披露定价、商业版本、付款方式或 SLA。部署方式方面，它作为 Fedora 服务运行，使用说明位于 Fedora Wiki；同时也可根据 GitHub 上的开发者文档在本地系统使用。也就是说，它更像面向开发者和发行版工程的开放式分析基础设施，而非已包装完整的商业 SaaS 安全平台。

优缺点

优点是工具链覆盖面较实用，包含 C/C++、Shell、Rust 及 Unicode 控制字符类检查；差异扫描适合持续发布；RPM 包支持在同类代码扫描工具中较有特色。缺点是正文没有提供合规认证、权限模型、告警通知、报表治理、CI/CD 集成细节和技术支持承诺；对非 Fedora/RPM 生态团队，学习和落地成本可能更高。

适合谁与中国访问

它适合 Linux 发行版维护者、RPM 包开发者、开源项目维护者，以及希望把多种静态分析器统一纳入发布流程的工程团队。不太适合只需要开箱即用 Web 漏洞扫描、企业级审计报表或商业客服的组织。中国访问情况正文未说明，需实际测试 Fedora 服务、GitHub 文档和邮件列表连通性；支付方式无信息。可对比 SonarQube、CodeQL、Semgrep、Snyk Code、GitLab SAST 等替代方案。