代码扫描与 SAST：CodeQL、Semgrep 与安全门禁
系统讲解在 GitHub Actions 中落地代码扫描与 SAST 的完整方案，涵盖 CodeQL 的查询包与 build-mode 配置、Semgrep 规则集与 SARIF 输出、code scanning 结果上传、基于严重级别的合并门禁、误报抑制与增量扫描调优。
tag
Sast
共 3 篇文章。
SAST/DAST/SCA 代码安全分析
系统讲解静态应用安全测试（SAST）、动态应用安全测试（DAST）和软件成分分析（SCA）的原理、主流工具（SonarQube、Semgrep、CodeQL、OWASP ZAP、Snyk）以及 CI/CD 安全流水线集成实践。
DevSecOps 安全测试集成：SAST、DAST 与 SCA 的实战落地
在软件开发生命周期中，安全漏洞的修复成本随着发现阶段的推移呈指数级增长。IBM 的研究数据表明，在设计阶段修复一个安全缺陷的成本约为 1 个单位，而在生产环境中修复同一缺陷的成本则高达 100 个单位以上。这一残酷的成本曲线，构成了 DevSecOps 运动的核心驱动力——将安全测试左移（Shift …