SAST 又称为静态应用程序安全测试。静态测试可以直接检测源代码或编译后的中间码，查找安全漏洞和缺陷。通过对发现的缺陷进行严重等级划分，来选择修复漏洞的优先级，及时修复威胁更严重的安全漏洞，纠正有问题的源代码。
在应用程序安全中使用SAST工具对于加强软件开发生命周期以抵御网络安全威胁至关重要。SAST工具可以集成到持续集成/持续部署(CI/CD)工作流程中，这有助于在不中断开发速度的情况下进行自动化安全评估。
尽管SAST工具存在误报，但通常可以结合SCA和DAST等其他安全检测工具一起以协作的方式运行。在选择SAST工具时一般关注以下几点：
SAST系统的精度
对于任何安全工具来说，准确性都是重要指标之一，应避免产生高误报率的检测。它们不仅会破坏安全开发，而且还会标记太多的潜在错误，从而降低安全团队的效能。
SAST系统的性能
在处理大型代码库或复杂项目时，工具应该能够有效地处理大量代码并且能够扩展以满足未来的需求。
SAST系统的易用性
SAST工具应该可以提供直观的用户界面、易于配置和定制的选项，这样不仅利于使用者快速上手，而且在减少不必要的工作流程和复杂度。
通用性和语言覆盖率
应用开发团队通常使用多种语言。理想情况下，单个 SAST 工具满足开发中所涉及的不同语言，但有时这并不可行。除了使用的语言数量之外，还需要适当考虑语言覆盖的质量。语言通常包括Java、C/C++、python、.Net、JS、HTML、PHP等。
规则库和定制能力
SAST工具通常基于一系列规则来检测潜在的安全问题。确保工具具有丰富的规则库，并且能够根据实际需求进行定制，来适应项目的特定安全需求。相较于国外的检测工具，国产自主研发的检测工具更容易实现定制。
报告和可视化
SAST工具生成的报告应该清晰明了，能够帮助开发团队快速定位和解决问题。报告应该包含详细的问题描述、建议的修复措施以及风险评估等信息。同时，工具应该提供可视化的方式展示安全问题，帮助团队更好地理解和处理问题。
支持和维护
选择一个有良好支持和持续维护的SAST工具是非常重要的。及时的技术支持和更新可以确保工具能够适应不断变化的安全威胁和技术环境。
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/70000012/viewspace-3013329/ ，如需转载，请注明出处，否则将追究法律责任。
