应用分析与安全研究工具怎么选？
先明确你手上是二进制文件、应用目录，还是源代码仓库。三类输入对应不同的工作方式：自己查看反汇编、让 Agent 组织调查、或者审查源码风险。下面按任务选择工具，不按 Star 数判断准确性。
按你的任务选择
Ghidra
需要亲自查看二进制的反汇编、伪代码与引用关系。
- 使用条件
- 跨 Windows/macOS/Linux；按所选发行版核对 JDK。先下载完整发行包。
- 注意边界
- 反编译结果不是原始源码；中文教程不代表官方界面已汉化。
REA
需要 Agent 从应用行为出发组织分析，并引用文件或引擎结果。
- 使用条件
- Node.js 与 Agent/MCP 配置；原生二进制另需对应分析引擎。
- 注意边界
- 不同目标格式需要不同依赖；推断必须回到证据核对。
Security Audit Skill
已有源码，想让编码 Agent 按审计方法查找安全问题。
- 使用条件
- 在支持技能的编码 Agent 中安装，提供源码和明确的审计范围。
- 注意边界
- 技能提供方法而非独立扫描服务，输出需要验证，不能保证发现所有漏洞。
选择前的常见问题
REA 能替代 Ghidra 吗？
不能简单替代。REA 提供面向 Agent 的调查入口，Ghidra 是完整的逆向分析框架；REA 的部分原生分析路径还可能使用这类引擎。按目标文件格式、交互方式和证据要求决定组合。
只有源码时，需要先做反编译吗？
通常先读源码、依赖和运行配置更直接。反编译适合只有编译产物的情况；源码审计与二进制分析是不同任务，不必为了工具热度增加步骤。
怎样判断一次分析有用？
先提出一个可核对的问题，让结果给出文件位置、调用关系或复现条件，再由你检查。没有证据的猜测不能当成确认的漏洞。涉及执行目标程序时，单独准备合适的分析环境。
资料核对：2026 年 10 月 10 日。按官方资料整理，非安装实测或性能排名。各工具的来源与版本见项目介绍；Security Audit Skill 另见官方 README。安装条件可能更新，请以所选版本为准。
继续看其他专题 →