软件漏洞在软件开发中不可避免,在软件正式版本发布前,通常需要对软件源代码进行审计,尽可能检出软件中潜在的安全问题,并对其进行修复。为此,研究人员提出了一系列基于规则和基于机器学习的代码漏洞检测方法。基于规则的漏洞检测方法由于需要人工专家参与规则的制订,因此对漏洞变体和新漏洞类型的检测能力差。基于机器学习的漏洞检测方法虽然功能强大,但仍需要先验知识,人工定义漏洞特征。随着深度学习和代码表征技术的发展,代码属性图被用于表达程序的语义,并结合双向长短时记忆网络（Bidirectional Long Short-Term Memory,BLSTM）、双向门控循环单元（Bidirectional Gate Recurrent Unit,BGRU）等深度学习框架构建漏洞检测模型,进一步提高了检测模型的准确率。然而,代码属性图中的控制流、数据流信息只包含了代码的静态属性,并不能反映代码的运行时特征（即其动态属性）,因此仅以代码属性图为基础的深度学习模型必然存在漏报率与误报率高的问题。此外,基于动态分析的漏洞检测方法不仅效率低,而且需要不同的漏洞样本覆盖足够多的代码分支,才能达到较好检测效果。但现存的标准漏洞库的数据漏洞模式单一,因此该漏洞检测方法的检测能力严重受限。针对以上问题,本文提出了一种基于图神经网络（Graph Neural Network,GNN）的动静结合的源代码漏洞检测方法Hybrid VDS（Hybrid Vulnerability Detection System）,该方法一方面解决漏洞库样本漏洞模式单一的问题,另一方面为漏洞检测模型提供充分的代码静态和动态语法、语义信息,降低了误报率和漏报率。本文的研究内容如下:（1）针对标准漏洞库数据样本质量低、漏洞模式单一的问题,提出了一种基于开源仓库的漏洞训练数据收集方法。通过对Git Hub仓库星级、Fork数量、仓库大小和所用语言等信息进行初次筛选获得候选数据,再使用两类模型朴素贝叶斯（Naive Bayes,NB）和BLSTM对候选数据进行综合评估,实现对数据的二次筛选,以此对现有漏洞库数据样本进行有效扩充。（2）针对目前漏洞检测方法存在的高误报和高漏报问题,提出了Hybrid VDS方法。在静态特征方面,利用代码属性图并添加了三类与代码属性图关联的边。在动态特征方面,提取了应用程序接口（API）的调用序列和代码实际执行序列,此执行序列包括具体执行到的路径、路径中各变量的值、函数参数值等。将这些静态特征和动态执行特征信息输入到图网络,使漏洞代码的静态语法、语义特征与动态语义特征被漏洞检测模型充分利用。（3）设计并实现了基于Hybrid VDS的原型系统。分析了该原型系统各模块及其功能,对其中关键算法进行了介绍,描述了完整的训练检测流程。通过多类不同来源的数据,从不同维度进行了综合实验,结果表明该原型系统通过使用动态特征,在标准仓库数据集上的22类漏洞数据中平均误报率从25.5%下降到6%,平均漏报率从9%降低到8%。在开源仓库数据集上的10类漏洞类型中平均误报率从25.31%下降到了19.74%,平均漏报率从19.72%降低到19.33%。