Checkov 是一款静态代码分析工具，用于在部署前扫描基础设施即代码（IaC）文件中的安全配置错误和合规违规，内置 750+ 策略，覆盖 Terraform、CloudFormation、Kubernetes、Dockerfile、Helm charts 与 ARM 模板，并通过基于图的扫描理解资源关系，检测跨多个资源的复杂错误配置。
用途：扫描 IaC 目录或文件，识别未加密资源、公开访问、缺失日志/监控/加密、不安全网络配置以及硬编码密钥与凭据等问题，也可对照 CIS 等合规基准检查。
主要能力：支持 terraform、cloudformation、kubernetes、dockerfile、helm、serverless、arm、secrets、ansible、github_actions、gitlab_ci 等框架；输出 CLI、JSON、JUnit XML、SARIF、CycloneDX 等格式；支持按严重级别（CRITICAL/HIGH/MEDIUM/LOW）筛选，通过 --skip-check 跳过检查，使用内联注释（如 checkov:skip=...）抑制误报；可编写 Python 自定义策略并通过 --external-checks-dir 加载；支持创建基线（--create-baseline）以仅对新增问题进行失败判定；可执行密钥扫描。
使用方式：安装可执行 pip install checkov、brew install checkov 或 docker pull bridgecrew/checkov。基本用法如 checkov -d ./terraform 扫描目录，checkov -f ./terraform/main.tf 扫描文件，checkov -d ./infrastructure --framework terraform 指定框架；可结合 --var-file、--download-external-modules、--output-file-path、--compact、--soft-fail、--hard-fail-on 等参数。集成方式包括 GitHub Actions（bridgecrewio/checkov-action@master）、GitLab CI、Jenkins Pipeline 与 pre-commit 钩子。
适用场景：基础设施代码提交前检查、CI/CD 安全门禁、合规审计报告生成、遗留基础设施渐进式整改。
限制：具体收费、许可与平台支持等资料未提供；输出仅基于扫描配置，不能替代运行时检测；误报需人工确认与抑制管理。