上一篇讲的是Semgrep，功能很全面，但是速度有一丢丢的慢，所以就重新找了一个工具试试，Horusec，体验过Horusec，好像有点用不回Semgrep了，速度差的不是一点半点，一个天上一个地上，原来30分钟出结果，现在只需要3分钟，扫描的问题几乎一致，这你敢想吗？
同时部署在一台服务器上面，生成报告的速度按分钟级。
Horusec是一款开源工具，用于在开发过程中通过静态代码分析发现安全漏洞。目前支持分析的语言包括C#、Java、Kotlin、Python、Ruby、Golang、Terraform、Javascript、Typescript、Kubernetes、PHP、C、HTML、JSON、Dart、Elixir、Shell、Nginx。 该工具可以搜索项目所有文件以及Git历史中的密钥泄漏和安全问题。开发者可以通过CLI来使用Horusec，DevSecOps团队也可以将其集成到CI/CD流程中。
功能特点：
- 同时集成20 款主流安全检测工具联动扫描，全面覆盖18 种开发编程语言代码深度解析，多引擎交叉校验大幅提升漏洞识别与风险判定准确率；
- 深度遍历 Git 代码仓库全版本提交历史、分支记录与提交日志，智能检索密钥密码、接口令牌、账号凭证、隐私配置等敏感信息及各类泄露暴露内容；
- 支持检测规则、扫描范围、过滤条件、输出模式全维度自定义配置，开放全部命令行 CLI 调用能力与接口资源，灵活适配本地终端、自动化流水线及服务器部署场景；
- 支持导入编写自定义检测规则、正则匹配规则与专属风控策略，可按需新增行业专属漏洞特征、敏感关键词库，适配业务私有化合规检测与定制化安全审计需求。
使用方法：
安装Horusec
Mac 或 Linux
make install
或
curl -fsSL https://raw.githubusercontent.com/ZupIT/horusec/master/deployments/scripts/install.sh | bash -s latest
检查安装
- horusec version
Windows
amd64
curl -k "https://github.com/ZupIT/horusec/releases/latest/download/horusec_win_amd64.exe" -o "./horusec.exe" -L
arm64
curl -k "https://github.com/ZupIT/horusec/releases/latest/download/horusec_win_arm64.exe" -o "./horusec.exe" -L
检查安装
./horusec.exe version
使用方式
horusec start -p .
非常简单，一行命令即可，如果集成到opencode中，直接对话即可。
Horusec支持多种输出格式：JSON、HTML、SARIF等，满足不同场景需求。
🎯为什么选择Horusec？
1.安装简单：无需繁杂配置，一个命令行即可使用。
2.功能全面: 支持多种20种不同的安全工具对18种语言进行分析。
3.可配置性高: 支持自定义规则和扫描策略。
4.速度快：扫描速度是分钟级，几乎几分钟搞定，输出多格式的报告。
5.持续更新：活跃的开发社区不断添加新功能和规则。
📊 Horusec 与 Semgrep:
速度：Horusec更快
准确率：Semgrep好一些
检测范围：都可自定义
多语言支持：相差不多，Semgrep更多一些
上手门槛：Horusec上手更快
使用场景：
Horusec：快速盲扫、CI 快速门禁、密钥泄露普查、全项目粗筛，适合小项目和要求不是很高的项目。
Horusec：代码规范校验、精准漏洞审计、企业自定义安全规则，可选pro付费更完善功能。适合完整项目或者大项目。
如果你还有什么疑问，可以打在评论区，我们一起探讨。
后面会持续输出ai相关内容，喜欢可以留个关注，让我们共同进步。
