影响与风险
危险调用和数据流可能在代码里就能发现，提前修复能降低上线风险。
安全工程与治理
SAST
SAST 静态应用安全测试
不运行程序，通过分析源码或编译产物发现潜在安全缺陷。
一句话记忆SAST 在程序运行前审查源码或相关构件。
不运行程序，通过分析源码或编译产物发现潜在安全缺陷。
交互图解
从概念到风险，再到防护
切换三个步骤，观察角色、机制和结果的变化。
SCENE / 071安全工程与治理
概念：提交代码时发现输入被拼接进数据库查询，开发者改用参数化调用。
一个具体场景
把概念放进日常操作
提交代码时发现输入被拼接进数据库查询，开发者改用参数化调用。
从这些线索开始
检查扫描支持的语言、规则和数据流，复核告警是否可达。
可以采取的动作
在开发流程扫描增量代码，配置上下文，修复后结合其他测试验证。