SASTvsWAF

SAST

SAST 通过分析源代码或字节码来发现安全漏洞，无需运行应用。它能在开发早期发现 SQL 注入、XSS 等常见漏洞，是 DevSecOps 流水线的第一道防线。

WAF

WAF 部署在 Web 应用前面，检查每个 HTTP 请求并拦截恶意流量（SQLi、XSS、DDoS 等）。Cloudflare WAF 是最流行的云 WAF 服务。

SAST

• 分析源代码发现安全漏洞
• 无需运行应用，开发阶段即可检测
• CI/CD 流水线的第一道安全防线

WAF

• 基于规则和 AI 检测恶意请求
• 不能替代安全编码，是纵深防御的一层
• Cloudflare、AWS WAF、Akamai 是主流选择

SAST

通过分析源代码在不运行应用的情况下发现安全漏洞的测试方法

WAF

部署在 Web 应用前端检查和过滤恶意 HTTP 流量的安全防护产品

SAST

• CI/CD 中的自动化代码安全扫描
• OWASP Top 10 漏洞的早期检测
• 合规要求的安全测试

WAF

• Web 应用的攻击防护
• DDoS 攻击的缓解
• 合规要求的安全基线

SAST

SAST 工具通过数据流分析和模式匹配扫描源代码中的安全问题。优势是覆盖率高、发现早；劣势是误报率高、无法检测运行时问题。常见 SAST 工具：Semgrep、SonarQube、CodeQL、Checkmarx。SAST 通常与 DAST（动态测试）配合使用，形成完整的应用安全测试体系。

WAF

WAF 是 Web 安全的第一道防线，通过检查 HTTP 请求的内容来识别和拦截攻击。WAF 的检测方式包括：基于签名的规则匹配、基于异常的行为分析、以及 AI 驱动的自适应检测。WAF 的局限在于：它只能防御已知攻击模式，对业务逻辑漏洞（如 IDOR）无能为力；过于严格的规则可能误拦正常请求。WAF 应该作为纵深防御的一层，而非唯一的安全措施。