SAST vs SCA vs DAST vs IAST：如何选择合适的安全扫描

这篇文章用日常语言对比了四种应用安全扫描工具，用来回答三个不同问题：代码写得安全吗（SAST）、依赖库有已知漏洞吗（SCA）、运行中的应用能被攻击吗（DAST），而 IAST 则从程序内部观察数据流动。文章说大多数安全团队不会只跑一种扫描，而是在开发流程的不同阶段组合使用：SAST 和 SCA 可在代码提交、PR 等早期阶段运行，DAST 和 IAST 需要应用真正跑起来，通常放在 QA、预发布环境。它的原则是越早发现、修复越便宜。对开发团队来说，这提供了一张按阶段选工具的决策地图；但文章只是概念性对比，没有给出具体工具名称、价格或发布状态。