SAST vs SCA：保护你编写的代码和你依赖的代码

摘要

SAST 检查你自己写的代码（注入、越权、逻辑缺陷），SCA 检查你依赖的代码（CVE、许可证、供应链风险）。两者关注点不同、互为盲区互补，现代 AppSec 团队应在 IDE、PR、CI 到镜像扫描的全流程中组合使用。