Sub-capability · cap-sast
静态应用安全测试
Static Application Security Testing
能力说明
分析源代码或相关静态表示，发现代码级安全缺陷与漏洞，并可接入 CI/CD 门禁。SAST 不访问运行中流量，不等同于 DAST 或 SCA。
定义是 OmySec 的编辑性描述，用于建立可比较的边界，不代表标准组织或厂商的官方定义。不同厂商对同一术语的实现范围可能差异很大，具体能力以产品页的来源与条件为准。
包含范围
- 源码/字节码静态分析
- 代码缺陷与安全漏洞
- CI/CD 门禁
排除与边界
- 运行时流量阻断
- DAST 黑盒测试
- SCA 依赖漏洞
相关词（非严格同义）：代码审计 · 静态分析 · CI/CD 安全门禁 · 白盒测试
定义参考
以下是编辑描述的参考依据，与下方产品声明证据分别记录；引用不表示官方认证或标准定义逐字等价。
- Source Code Analysis Tools OWASP Community Page (accessed 2026-10-18) · Source Code Analysis Tools：SAST 静态分析源代码与自动分析工具的限制 · 核对 2026-10-18
- Secure Software Development Framework (SSDF) Version 1.1 SSDF 1.1 · PW.7 代码审查/分析；PW.8 可执行代码测试 · 核对 2026-10-18
分类版本 0.3-draft · 稳定节点，定义随证据修订。