如何对非自有GitHub仓库进行静态分析，Codacy API权限问题求解

工具替代选项 #

• 本地运行类工具：直接拉取目标仓库代码到本地后执行扫描，无仓库所有权限制，支持批量脚本调度，常用通用型工具包括 Semgrep、SonarQube 社区版，也可以根据目标仓库的技术栈选择对应语言的专项 lint 工具，比如前端用 ESLint、Python用 Pylint、C/C++用 Clang-Tidy 等。
• 公开仓库友好的SaaS工具：部分静态分析SaaS支持直接输入公开GitHub仓库地址触发分析，不需要将仓库导入到你的账号下，也不需要拥有仓库的管理权限。

克隆代码到自有私有仓库分析的说明 #

可行性 #

技术层面完全可落地，你可以编写脚本批量完成目标仓库克隆、推送到你的私有仓库、触发Codacy扫描、拉取分析结果的全流程，不需要人工操作单个仓库。

合规性 #

合规性判定完全依赖目标仓库的授权许可：

若目标仓库为公开开源仓库，绝大多数开源许可证都允许私有场景下的代码复制、使用，仅做静态分析不对外分发分析结果或衍生代码的话，基本无合规风险。
若目标仓库为私有仓库，你必须提前获取仓库所有者的正式授权，否则私自克隆、分析代码属于侵权行为。

其他获取分析结果的途径 #

• 热门开源项目一般会自带CI静态分析流程，你可以直接查看项目的CI运行记录、公开质量报告页面获取已有的分析结果，无需重复扫描。
• 安全类静态分析结果可以直接检索公开CVE数据库、项目的GitHub Security Advisory页面获取已披露的问题。

内容的提问来源于stack exchange，提问作者golto4