在过去的15年中，静态应用程序安全测试（SAST）一直是应用程序安全性工作的核心部分。考虑到Forrester近期的2020年应用程序安全状况报告预测，应用程序漏洞将一直是最常见的外部攻击方法，可以肯定地说，SAST将在可预见的未来使用。 

        根据Forrester报告，针对安全专业人员的一项调查显示，2019年的大多数外部攻击是通过利用软件漏洞（42％）或通过Web应用程序（35％）进行的。SAST已成为应用程序安全测试工具的代名词，但是，如果我们真的想确保我们的软件产品受到保护，那么了解我们使用的工具如何工作以及如何最大程度地发挥其价值就很重要。 

        像任何技术一样，特别是在安全性方面，SAST有其优缺点。它使组织能够检测到潜在的漏洞，但也会减慢开发速度。因此，重要的是要了解SAST的工作原理，优点和缺点以及如何进行改进。 

什么是SAST？

        静态应用程序安全性测试（SAST）是尚在使用中的最成熟的应用程序安全性测试方法之一，是白盒测试——当组件处于静止状态时，从内而外分析源代码。Gartner对SAST的定义是“一组技术——为了指示安全漏洞的编码和设计条件，而分析应用程序源代码，字节码和二进制文件。”

SAST如何运作？

        顾名思义，SAST可以扫描静态代码并测试静态代码，而无需运行它。SAST通常在开发的编码和测试阶段实施，并集成到CI服务器，或者更近一些，集成到IDE中。SAST扫描组织的内部代码和设计，以检测表明可能导致安全漏洞的弱点的缺陷。  

        SAST扫描基于一组预定规则，这些规则定义了源代码中需要解决和评估的编码错误。可以设计SAST扫描来识别其中一些最常见的安全漏洞，例如SQL注入，输入验证，堆栈缓冲区溢出等。 

SAST的利与弊

        让我们从好消息开始。SAST是一个最佳的应用程序安全工具，如果操作正确，对于组织的AppSec战略至关重要。将SAST集成到SDLC中可以帮助改善组织的安全性。以下是静态应用程序安全性测试的主要优点。 

优点

＃1提前考虑安全性

        将安全测试集成到软件开发的早期阶段是一种重要的实践。SAST帮助安全性测试提前进行，在设计阶段比较容易解决的时候检测专有代码中的漏洞。在此阶段发现和修复安全问题，可以为组织节省在临近发布日期，或更差的情况，在发布后，大代价的努力。 

＃2确保安全编码

        SAST可以轻松检测出由于相当简单的编码错误而导致的缺陷，从而帮助开发团队确保其遵守安全的编码标准和最佳实践。 

＃3常见漏洞检测

        自动化的SAST工具可以高度自信地轻松检测常见的安全漏洞，例如缓冲区溢出，SQL注入，跨站点脚本编写等。

缺点

        不幸的是，尽管SAST是已经使用了15年的非常成熟的技术，但它仍然有其缺点。以下是SAST的一些主要缺点：

＃1不能涵盖所有漏洞

       在预生产源代码中很难自动检测出诸如身份验证，访问控制和加密之类的问题。显然，SAST也无法涵盖运行时问题或配置问题，需要组织实施其他安全测试工具。 

        SAST也不涵盖开源漏洞。由于当今的应用程序由60％-80％的开源组件组成，因此这使得相当一部分代码未经测试，需要SCA工具。 

＃2误报率很高

        SAST的结果包括大量误报，使开发和安全团队付出了很多时间和精力，来清除错误警报以查找实际问题。考虑到竞争性的发展步伐和补救关键问题所花费的时间，处理误报给发展带来很大压力。 

＃3耗时

        尽管自动SAST可以连续扫描，但是对于大型代码库，一次扫描可能要花费几个小时。此外，一旦提供结果，就需要进行分析。SAST只能指出潜在的漏洞，还要让开发人员来验证这些可疑的漏洞确实是安全隐患