SAST（Static Application Security Testing，靜態應用程式安全測試）是一種在程式碼還沒執行的情況下，直接分析原始碼、位元碼或執行檔來找出資安漏洞的做法。這篇 GitHub 官方文章指出，SAST 通常在寫程式或建置階段就進行，目的是在軟體正式上線之前，先找出像是 SQL 注入、跨站腳本攻擊、緩衝區溢位這類常見的資安問題。
文章說明 SAST 工具實際運作靠幾個步驟：直接掃描原始碼、不用真的執行程式，並且可以整合進 IDE 與 CI/CD 流程裡；追蹤資料在程式裡怎麼流動、指令執行的先後順序；理解程式碼真正的意思而不只是比對格式，藉此減少誤判；再搭配比對已知的漏洞樣式與危險寫法，抓出可能有風險的程式碼。
文章把 SAST 放在「左移（shift-left）」這個資安趨勢下討論：與其等軟體上線後才修補漏洞，不如把資安檢查提早放進寫程式的過程，因為越早發現問題、修補成本越低。文章也提到，現在的 SAST 工具開始結合 AI 與機器學習，讓誤判變少、判斷更準，還能在 IDE 裡即時提醒，甚至自動建議或直接套用修補方式。
對正在學程式的孩子與家長來說，這則比較偏產業面：SAST 是專業開發團隊在正式上線軟體前用來把關資安的工具，牽涉到比較進階的資安知識。不過可以讓孩子知道，寫程式不是功能做完就結束，專業軟體上線前還會經過安全檢查，這個概念值得先留一個印象。
資安開發工具程式教育AI