网络安全专业术语
AppSecvsSAST
网络安全领域术语对比 — 快速理解两者的核心差异
AppSec
Application Security
应用安全 · 从代码层面保护应用
SAST
Static Application Security Testing
静态应用安全测试 · 不跑代码就能找漏洞
概览对比
AppSec
AppSec 关注应用程序本身的安全：安全编码、代码审计、SAST/DAST 测试、依赖管理、API 安全。AppSec 工程师是开发团队和安全团队之间的桥梁。
SAST
SAST 通过分析源代码或字节码来发现安全漏洞，无需运行应用。它能在开发早期发现 SQL 注入、XSS 等常见漏洞，是 DevSecOps 流水线的第一道防线。
核心要点
AppSec
- 关注应用程序本身的安全
- 安全编码 + 代码审计 + 自动化测试
- 开发和安全团队的桥梁
SAST
- 分析源代码发现安全漏洞
- 无需运行应用，开发阶段即可检测
- CI/CD 流水线的第一道安全防线
正式定义
AppSec
将安全实践融入应用开发全生命周期的安全工程领域
SAST
通过分析源代码在不运行应用的情况下发现安全漏洞的测试方法
应用场景
AppSec
- 应用的安全架构设计
- 代码和依赖的安全审计
- 安全开发流程的建设
SAST
- CI/CD 中的自动化代码安全扫描
- OWASP Top 10 漏洞的早期检测
- 合规要求的安全测试
详细解读
AppSec
AppSec 的核心活动：威胁建模（设计阶段）、安全编码规范（开发阶段）、SAST/SCA 扫描（CI/CD 阶段）、DAST/渗透测试（测试阶段）、漏洞管理（运维阶段）。AppSec 工程师需要同时理解开发和安全，能用开发者的语言沟通安全问题。OWASP 是 AppSec 领域最重要的社区和资源。
SAST
SAST 工具通过数据流分析和模式匹配扫描源代码中的安全问题。优势是覆盖率高、发现早；劣势是误报率高、无法检测运行时问题。常见 SAST 工具：Semgrep、SonarQube、CodeQL、Checkmarx。SAST 通常与 DAST（动态测试）配合使用，形成完整的应用安全测试体系。
快速对比
| 维度 | AppSec | SAST |
|---|---|---|
| 类型 | 专业术语 | 专业术语 |
| 标签 | 应用安全、合规治理 | 应用安全、安全工具 |
| 热度 | 62 | 64 |
共同关联术语
OWASPDevSecOps