什么是交互式应用安全测试（IAST）？

这篇文章介绍了 IAST 这种安全测试方法。以往检查应用漏洞，要么是静态扫描代码（SAST），要么从外面发攻击请求试探（DAST），前者容易误报，后者看不到内部细节。IAST 的做法是在应用运行时往代码里装监控探针，跟踪数据从输入到数据库查询的流动，能在发现 SQL 注入、XSS 等问题时给出具体代码位置。它的代价是部署更麻烦、有一定性能开销，在微服务环境里维护成本更高，而且必须在应用跑起来之后才能用。