静态应用安全测试（SAST）

欢迎学习静态应用程序安全测试（SAST）！SAST 是在开发过程早期保护代码安全的重要组成部分。

您可以将 SAST 想象成一种“白盒”测试方法。它会检查应用程序的源代码、字节码或二进制代码，而不会实际运行应用程序。

• 静态：分析处于静止状态的代码。
• 应用程序：关注您的软件。
• 安全：旨在发现漏洞。

SAST 工具通过扫描代码中的已知安全漏洞模式来工作。它们会分析：

• 数据流：数据如何在应用程序中流动。
• 控制流：指令执行的顺序。
• 结构性缺陷：不良编码实践或配置错误。

这种深入分析有助于识别 SQL 注入、跨站脚本攻击（XSS）和不安全的直接对象引用（IDOR）等问题。

将 SAST 集成到您的持续集成/持续交付流水线中可带来显著收益：

• 及早发现：在部署之前发现漏洞，此时修复成本最低。
• 提升安全态势：帮助开发人员从一开始就编写更安全的代码。
• 合规性：协助满足各种安全标准和法规要求。

及早发现问题可以避免后续高昂的修复成本和潜在的数据泄露。

目前有许多可用的 SAST 工具，包括开源工具和商业工具。其中一些常用工具包括：

• GitHub CodeQL：GitHub 原生的 SAST 引擎。
• SonarQube：广泛用于持续代码质量检查和安全分析的平台。
• Bandit：用于 Python 项目的安全代码检查工具。
• Snyk Code：将安全性集成到开发人员的工作流程中。

对于 GitHub Actions，CodeQL 通常是最容易集成的工具，因为它已经内置其中。

您可以将 SAST 工具直接集成到 GitHub Actions 工作流中。这意味着每次推送代码或打开拉取请求时，系统都可以自动扫描您的代码以查找漏洞。

这样可以持续获得反馈，让开发人员能够在安全问题出现时立即修复，而不必等到后续阶段。

下面来看一个用于设置 CodeQL 的基本 GitHub Actions 工作流代码片段。此操作会在推送代码和提交拉取请求时自动运行，以扫描您的代码。

github/codeql-action/init@v3 步骤会准备 CodeQL 环境。

初始化 CodeQL 后，您需要构建代码（如适用），然后运行分析。autobuild 步骤通常可以为您处理常见的构建流程。

最后，analyze 步骤会将结果上传到 GitHub 的“安全”选项卡。

SAST 扫描完成后，会生成一份报告。在 GitHub 中，CodeQL 的发现结果会直接显示在您仓库的“安全”选项卡中，也会作为批注显示在拉取请求中。

这些报告通常包括：

• 漏洞类型：问题属于哪种类型。
• 严重程度：严重、高、中、低。
• 位置：代码中的文件和行号。
• 修复指导：如何修复该漏洞。

为了充分发挥 SAST 的作用：

• 尽早集成：尽快扫描代码。
• 自动执行扫描：在每次推送或 PR 时运行 SAST。
• 确定发现结果的优先级：先关注严重和高严重性的问题。
• 培训开发人员：帮助团队了解并修复常见漏洞。

定期检查并完善 SAST 配置同样十分重要。

静态应用程序安全测试（SAST）是保护应用程序安全的强大工具。以下哪项最能描述 SAST 的一个关键特征？

在本课中，我们学习了静态应用程序安全测试（SAST）。我们了解到，SAST 无需运行代码即可进行分析，并能在开发周期的早期发现漏洞。

我们介绍了 SAST 工具的工作方式及其优势，还学习了如何将 GitHub CodeQL 这样的强大工具集成到 GitHub Actions 工作流中。采用 SAST 可以显著提升应用程序的安全态势。