AI 资源库 · 已整理 4 项
查看与SAST相关的 AI 资讯、工具、Skill、工作流和开源项目。
移动应用安全测试（MAST）是在 App 发布前检查应用代码、内置 SDK 和运行时行为中漏洞的做法。已发布的应用相当于任何人都能下载分析的二进制文件，硬编码的密钥等于公开。MAST 把静态分析（SAST）、第三方依赖检查（SCA）和动态分析（DAST）结合起来，贯穿每次构建，而不是上线前只做一次渗透测试；OWASP MASVS 是参考标准，OWASP Mobile Top 10（2024 年更新）是常见的风险清单。文章还列出评估测试工具的五个标准，如覆盖二进制与依赖、按可达性排优先级、融入 CI/CD、跨扫描器结果去重、提供含预编译 SDK 的 SBOM。需注意文中未点名具体工具产品，也主要引用了一项 2026 年调查称 86% 的工程负责人希望安全检查更自动化。
提供的材料未提及具体可用工具。
AI 让软件开发变快，也让漏洞被找到和利用的速度变快。过去安全团队靠一张表格记录漏洞、按严重程度打分再排优先级，但现在漏洞太多，这种方法很难跟上。文章提出换个问法：不要只问“我们有多少个漏洞”，而要先问“哪些漏洞真的会给我们带来风险”。做法包括：用更干净的基础镜像和代码扫描减少漏洞进入系统，同时持续扫描真正在生产环境里运行的软件，并结合网络可达性判断风险。这样能帮团队少做“表面功夫”，把精力放在真正危险的地方。
提供的材料未提及具体可用工具。
这篇文章用日常语言对比了四种应用安全扫描工具，用来回答三个不同问题：代码写得安全吗（SAST）、依赖库有已知漏洞吗（SCA）、运行中的应用能被攻击吗（DAST），而 IAST 则从程序内部观察数据流动。文章说大多数安全团队不会只跑一种扫描，而是在开发流程的不同阶段组合使用：SAST 和 SCA 可在代码提交、PR 等早期阶段运行，DAST 和 IAST 需要应用真正跑起来，通常放在 QA、预发布环境。它的原则是越早发现、修复越便宜。对开发团队来说，这提供了一张按阶段选工具的决策地图；但文章只是概念性对比，没有给出具体工具名称、价格或发布状态。
提供的材料未提及具体可用工具。
这篇文章介绍了 IAST 这种安全测试方法。以往检查应用漏洞，要么是静态扫描代码（SAST），要么从外面发攻击请求试探（DAST），前者容易误报，后者看不到内部细节。IAST 的做法是在应用运行时往代码里装监控探针，跟踪数据从输入到数据库查询的流动，能在发现 SQL 注入、XSS 等问题时给出具体代码位置。它的代价是部署更麻烦、有一定性能开销，在微服务环境里维护成本更高，而且必须在应用跑起来之后才能用。
提供的材料未提及具体可用工具。