CPG开源项目对比
https://github.com/ShiftLeftSecurity/codepropertygraph 和 https://github.com/Fraunhofer-AISEC/cpg 对比
1 核心目标
| 项目 | 主要目标 |
|---|---|
| ShiftLeft | 提供CPG的规范定义和基础工具链，强调跨语言通用性，作为Joern等分析工具的后端。 |
| Fraunhofer | 提供多语言CPG生成库，支持实际代码解析（C/C++、Java等），并集成分析扩展（如数据流、控制流）。 |
2 功能对比
| 特性 | ShiftLeft | Fraunhofer |
|---|---|---|
| 规范定义 | ✅ 提供详细的CPG协议缓冲区（Proto）规范。 | ❌ 无独立规范，但提供内部节点/边结构的文档。 |
| 语言支持 | 语言无关（依赖前端如Joern生成CPG）。 | ✅ 直接支持C/C++、Java、Go、Python等。 |
| 工具链集成 | 生成CPG供其他工具（如Joern）使用。 | ✅ 内置Neo4j导出、命令行工具和API。 |
| 动态扩展性 | 通过扩展Schema支持自定义分析。 | ✅ 通过Passes机制动态扩展分析逻辑。 |
| 错误容忍解析 | ❌ 不直接处理源码解析。 | ✅ 使用容错解析器（如Eclipse CDT）。 |
| 量子计算支持 | ❌ 无 | ✅ 实验性支持OpenQASM和Qiskit（量子编程）。 |
3 技术实现
| 技术栈 | ShiftLeft | Fraunhofer |
|---|---|---|
| 语言 | Scala（主） | Java/Kotlin（主）+ Python/NodeJS（部分前端） |
| 依赖管理 | sbt | Gradle |
| 数据库支持 | Tinkergraph（默认） | Neo4j、Apache Tinkergraph |
| 协议缓冲区 | ✅ 核心依赖Proto生成跨语言绑定。 | ❌ 未使用Proto，直接操作Java对象模型。 |
4 适用场景
ShiftLeft更适合：
-
需要标准化CPG格式的研究或工具开发。
-
作为其他静态分析工具（如Joern）的底层依赖。
-
关注CPG的理论规范而非具体语言实现。
Fraunhofer更适合：
-
需要直接分析多种语言源码的场景。
-
快速集成到Java/Kotlin项目（如安全分析工具）。
-
需要灵活扩展分析逻辑（如自定义数据流规则）。
5 社区与生态
| 指标 | ShiftLeft | Fraunhofer |
|---|---|---|
| 维护状态 | 活跃（但侧重规范而非前端）。 | 活跃，持续扩展语言和分析功能。 |
| 扩展性 | 依赖外部工具链（如Joern）。 | 内置模块化设计（如cpg-language-go）。 |
| 文档 | 规范文档详细，但实际使用需结合Joern。 | 提供CLI教程、API文档和论文支持。 |
6 总结
-
ShiftLeft是CPG的参考实现和规范，适合底层工具开发者。
-
Fraunhofer是多语言CPG生成器，适合需要开箱即用分析的场景。
-
若需统一规范，优先选ShiftLeft；若需实际代码分析，选Fraunhofer。
-
两者互补性较强：ShiftLeft定义标准，Fraunhofer提供实现。例如，Fraunhofer的CPG可转换为ShiftLeft的Proto格式以实现工具互操作。