方法对比
| 方法 | 输入 | 优势 | 局限 |
|---|---|---|---|
| SAST | 源代码/字节码 | 能定位到代码行 | 误报较多，难覆盖运行期逻辑 |
| DAST | 运行中的服务 | 贴近真实暴露面 | 登录后逻辑与深路径覆盖有限 |
| IAST | 运行插桩 | 误报率与定位较好 | 需部署插桩，环境要求高 |
| SCA | 依赖清单 | 发现第三方组件问题 | 需持续更新比对库 |
SCA 结果要和实际打包产物核对：开发依赖与运行产物中包含的组件范围常不一致。
SAST/DAST/IAST/SCA 方法定位
不同测试方法看问题的角度不同：SAST 看源码缺陷、DAST 模拟外部行为、IAST 结合运行时插桩、SCA 看依赖成分；覆盖互补，不能互相替代。
易错点
- 把 SAST 单次扫描当作发布门禁的全部，运行期与依赖风险无人负责
数据来源与参考
- OWASP 文档（SAST/DAST 说明）
- OWASP Dependency-Check 项目文档