静态应用安全扫描

解决什么问题

在软件开发中，安全漏洞常在编码阶段引入，却往往到部署甚至遭攻击后才暴露。传统动态测试（DAST）依赖应用运行，难以覆盖所有路径且修复成本高昂。static-application-security-testing 技能旨在将安全检查左移，在不执行应用的前提下对源码进行静态分析。它能在编码或发起 Pull Request 时，快速发现 SQL 注入、跨站脚本、硬编码密钥及不安全的反序列化等漏洞，大幅降低运行时风险。

核心能力与工作流

该技能通过智能调度多种 SAST 工具，为不同技术栈提供精准审查，核心步骤如下：

• 语言与框架识别：分析仓库结构，识别 Python、Java、Go 等语言及框架，并检测 .semgrep.yml 等已有配置。
• 工具选择与配置：匹配最合适的引擎。如用 Semgrep 做多语言模式匹配，CodeQL 做深度语义分析，或针对 Python 调用 Bandit，针对 JS/TS 启用 ESLint 插件。
• 扫描与结果降噪：并行运行工具，捕获含 CWE 标识符和行号的漏洞。随后合并多工具结果，通过上下文分析（如验证 SQL 字符串是否到达数据库驱动）区分真实漏洞与误报。
• 报告生成与 CI 集成：输出包含修复建议的 SARIF 或 Markdown 报告，并支持配置 CI 流水线，在出现高危漏洞时阻断代码合并。

适用边界与注意事项

实际应用中需注意 SAST 的局限性：

• 排除生成与 vendor 代码：自动生成的 protobuf 存根或第三方依赖易产生噪音，建议使用路径过滤器排除。
• 模板语言解析：Jinja2、JSX 等模板可能无法被完全解析，需配合特定插件。
• 测试代码误报：测试目录常含故意不安全的测试数据，应配置独立规则集。
• 历史密钥盲区：SAST 仅扫描当前工作区，需配合 Gitleaks 等工具追溯 Git 历史中的凭证泄露。