安全扫描工具选型：SAST、DAST、SCA

在 CI/CD 流水线中集成安全扫描，第一步是选择正确的工具组合。SAST（静态应用安全测试）、DAST（动态应用安全测试）和 SCA（软件成分分析）覆盖了从源码到依赖再到运行时的不同安全维度。理解三者的原理、工具生态、许可证成本以及与 CI/CD 平台的兼容性，是设计自动化安全扫描流程的基础。

1.1 特点对比

三种扫描方式在发现漏洞的时间点、分析对象、误报率及集成阶段上存在显著差异。

1.2 工具生态与许可证成本

每种类型都有丰富的开源和商业工具，成本差异大，选择时需考虑团队规模、项目敏感度和预算。

• SAST 工具：SonarQube（社区版免费，Developer 版 $150/年/用户），Semgrep（开源免费），CodeQL（开源免费，但 GitHub 高级版有许可证限制）。
• DAST 工具：OWASP ZAP（开源免费，社区活跃），Burp Suite（社区版免费，专业版 $449/年），Acunetix（商业 $4,500/年起）。
• SCA 工具：OWASP Dependency-Check（开源免费），Snyk（免费层有限，团队版 $130/月），Trivy（开源免费，适用于容器和依赖）。

1.3 与 CI/CD 平台兼容性

主流 CI/CD 平台（Jenkins、GitLab CI、GitHub Actions、CircleCI）均支持通过插件、命令行或 Action 集成上述工具。以下是在 GitHub Actions 中同时触发 SAST（Semgrep）、SCA（Trivy）和 DAST（ZAP）的示例配置片段。

# .github/workflows/security-scan.yml
name: Security Scan
on: [push]
jobs:
  sast:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: returntocorp/semgrep-action@v1
        with:
          config: p/default
  sca:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - run: trivy fs --sca --severity CRITICAL,HIGH .
  dast:
    runs-on: ubuntu-latest
    needs: [sast, sca]
    steps:
      - run: docker run -d -p 8080:80 your-app:latest
      - run: docker run --network host softwaresecurityproject/zap-stable zap.sh -cmd -quickurl http://localhost:8080 -quickout report.html

1.4 三种工具的流水线集成位置

下图展示了 SAST、SCA 和 DAST 在典型 CI/CD 流水线中的阶段嵌入位置，从左到右依次为代码提交 → 静态分析 → 依赖分析 → 构建 → 部署 → 动态分析。

1.5 选型决策要点

• 团队规模 & 预算：小团队可从开源组合（Semgrep + Trivy + ZAP）起步；企业级推荐商业工具+专家规则。
• CI/CD 平台：检查工具是否提供原生插件（如 Jenkins 的 SonarQube Scanner、Snyk Security Plugin）或 CLI 调用方式。
• 扫描频率：SAST/SCA 适合每次提交触发；DAST 建议只在 PR 合并前或定时执行，避免资源浪费。
• 结果管理：输出格式（SARIF、HTML、JSON）需能被 CI/CD 的告警系统消费，如 GitHub Code Scanning、GitLab Security Dashboard。