Sonatype是用于软件供应链自动化和安全性的开发人员友好工具的领导者，推出了Sonatype Lift (Lift)，这是一种首创的云原生深度代码分析平台。Lift 可在几分钟内轻松安装在任何源代码库上，并针对各种错误类型提供开发人员友好的反馈，范围从轻量级样式问题到源代码和第三方开源库中常见的复杂编码错误。
在过去的一年中网络攻击成倍增加，软件的供应链存在开放源代码的漏洞。即使是世界上最大的公司也不能幸免于无意中进入生产的软件质量缺陷。Apple 最近报告 了其 Webkit 浏览器 SDK 和 iOS 内核中的严重漏洞。随着代码质量问题日益成为安全问题，开发人员和安全团队需要共同努力以确保代码既可靠又安全。此外，正如最近的 Fastly 中断所表明的那样，无辜的编码错误可能造成与恶意行为者故意实施的网络攻击一样多的损害。
深度代码分析。易于开发人员。受到安全部门的信任。
Lift 旨在让开发人员和安全团队的生活更轻松，促进两者之间的协作，提供统一的代码分析管道，提供跨 11 种语言的 26 多种工具来捕获各种错误类型。由于 Lift 的分析结果可以在代码审查中报告，因此开发人员和安全工程师可以就如何最好地（或是否）解决报告的问题进行协作。随着评审窗口期间的报告被证明可以显着提高修复率， Lift 在这个关键点提供洞察力的能力将有助于提高代码质量。
这是第一个引入来自Facebook (Infer) 和 Google (ErrorProne)的成熟方法和技术的代码质量解决方案 ，并将它们作为商业平台提供。Lift 的独特工作方式使安装和配置变得快速而简单，克服了传统代码分析工具的挑战，并利用开发人员的反馈随着时间的推移不断改进结果。通过关注高度可信的错误，Lift 建立了开发人员的信任，并确保在报告时，开发人员会注意并修复问题。
Lift 不仅可以捕获开发人员编写的代码中的问题，还可以通过从Sonatype 的 OSS 索引中提取软件组合分析数据来 将易受攻击的开源库报告为代码审查中的评论，从而捕获他们所依赖 的开源库中的问题。
Sonatype 联合创始人兼首席技术官 Brian Fox：
“开发人员越来越有责任确保他们的代码既安全又高质量。典型的代码质量工具仅限于每个文件的分析，不能捕获遍历文件的错误。虽然 SAST 工具可以这样做，但它们以安全为中心并由安全团队运行。我们构建 Lift 的目的是为开发人员提供深入的代码分析，重点是捕捉性能和可靠性错误，这些错误可能导致类似于最近攻击中越来越多地利用的严重漏洞。而且，我们以一种帮助开发人员修复更多错误的方式做到了这一点，而不会减慢他们的速度或要求他们切换上下文”
加强开发者和开源社区
Lift 将永远免费用于公共存储库，并通过帮助从源头保护软件供应链来为开源维护者提供服务。Sonatype 长期以来一直致力于支持世界开源社区，最初是作为 Apache Maven 的核心贡献者，并继续管理 Maven 中央存储库、 包括其 OSS 漏洞数据库在内的免费开发人员工具，并成为 OpenSSF 基金会的活跃成员
在GitHub中试用Lift
https://github.com/marketplace/muse-dev
https://github.com/marketplace/muse-dev/plan/MLP_kgDNGN8#pricing-and-setup
Public类型的仓库是可以直接免费试用的。
开始安装：
授权信息：
选择要分析的仓库， 和分支信息。
https://lift.sonatype.com/zeyangli
已经运行分析了
查看扫描日志
查看扫描结果：
查看工具执行状态：
使用起来非常简单， 基本上没有其他的配置，完全自动扫描。其他功能在后面再详细研究。
关于 SONATYPE
Sonatype 是对开发人员友好的软件供应链自动化领域的领导者，让组织可以完全控制其云原生开发生命周期，包括第三方开源代码、基础设施即代码和容器化代码。该公司支持 70% 的财富 100 强企业，其商业和开源工具受到全球 1500 万开发人员的信赖。凭借改变世界创新方式的愿景，Sonatype 帮助各种规模的组织构建更符合业务需求、更易于维护和更安全的更高质量的软件。
Sonatype 连续 两年被 Fast Company 评为全球最佳创新者工作场所之一，并入选德勤科技 Fast 500 and Inc。
了解更多关于Lift的信息：
https://blog.sonatype.com/elevate-your-development-with-sonatype-lift
