用途：在通过 Terraform、CloudFormation 或 Pulumi 配置云基础设施时，对 IaC 模板做自动化安全校验，防止公开 S3 桶、开放安全组、未加密存储等常见云错误配置进入部署，并为合规审查提供配置检查证据。不适用于应用源码扫描（用 SAST）、已部署基础设施漂移监控（用 CSPM）或容器镜像漏洞扫描（用 Trivy）。
主要能力：Checkov 提供 2500+ 内置策略，覆盖主流云厂商，支持基于资源关系的图分析；tfsec 专注 Terraform HCL 静态分析；KICS 支持 15+ IaC 框架。可扫描 Terraform 文件与 plan JSON、Kubernetes 清单、Helm 渲染模板，支持自定义 Python/YAML 策略、基线配置与检查项跳过，输出 CLI、JSON、SARIF 等格式。
使用方式：安装 Checkov（pip install checkov）或 tfsec；用 checkov -d ./terraform/ --framework terraform 扫描目录，用 checkov -f tfplan.json --framework terraform_plan 扫描 plan；通过 --check 或 --skip-check 指定或跳过检查项。在 GitHub Actions 中可用 bridgecrewio/checkov-action@v12 与 aquasecurity/tfsec-action@v1.0.3，并将 SARIF 上传至代码扫描。KICS 可用 docker run checkmarx/kics:latest scan 执行。
适用场景：多云的统一安全策略、PR 中阻断不安全变更、合规要求的部署前配置审查。
限制：仅扫描 .tf 文件会遗漏动态计算值，需扫描 Terraform plan 提高准确性；CKV2 前缀的关系检查依赖图分析模式；自定义策略需按 Checkov 基类编写。其他工具细节与收费情况暂未提供。