靜態應用程式安全測試 靜態應用程式安全測試Static application security testing簡稱SAST是透過審查程式原始碼來識別漏洞提昇軟體安全性的作法早在電腦問世時就已有靜態程式分析的作法自從年起SQL注入的攻擊方式開始出現在公眾的討論中而網路應用程式整合了JavaScript及Adobe Flash Player因此從年代末開始用靜態程式分析進行安全測試的作法也開始普及 靜態應用程式安全測試的作法和動態應用程式安全測試DAST的黑盒測試工具不同DAST是針對應用程式的功能而SAST是白盒測試著重在應用程式的程式碼本身 SAST工具會掃描應用程式以及其元件的程式碼確認其軟體及架構中是否有安全漏洞 靜態分析工具約可偵測到程式的安全漏洞 在软件开发过程中靜態應用程式安全測試可以在開發過程的早期在程式碼階段進行也可以在所有的程式碼及軟體元件放在一致的測試環境時再測試此一技術也用在軟體品質保證上不過會產生許多的假警報因此也讓軟體開發者不願導入此一測試 SAST工具可以整合到開發流程中幫助開發團隊讓他們主要專注在開發及交付對應需求規格的軟體SAST工具像其他的安全工具一様著重在減少應用程式無法正常運作的風險也避免應用程式中儲存的隱私資料不會被破壞或是洩漏