什么是安全测试？

Question

什么是安全测试？

Accepted Answer

**安全测试**评估软件中的**漏洞和安全弱点** — 验证它保护数据并能够抵抗攻击。它包括各种技术（SAST、DAST、渗透测试、依赖项扫描），是必不可少的，因为安全缺陷可能产生严重后果。

## 安全测试检查的内容

```text
Security testing finds VULNERABILITIES and verifies defenses:
  → common flaws: injection (SQL, etc.), XSS, broken authentication/authorization,
    sensitive data exposure, misconfigurations, vulnerable dependencies (OWASP Top 10)
  → does the app properly authenticate, authorize, validate input, encrypt data, etc.?
→ ensures the software resists attacks and protects data/users.
```

## 安全测试的类型/技术

```text
SAST (Static) → analyze SOURCE CODE for vulnerabilities (without running it) — in CI
DAST (Dynamic) → test the RUNNING app for vulnerabilities (attack it from outside)
DEPENDENCY scanning (SCA) → find known vulnerabilities in libraries (Snyk, Dependabot)
PENETRATION testing → ethical hackers actively try to BREAK IN (find real exploitable flaws)
SECRET scanning → detect committed secrets; CONFIGURATION/IaC scanning
```

## 集成安全（左移）

```text
✓ SHIFT SECURITY LEFT → test for vulnerabilities EARLY (in development/CI), not just at the end
✓ Automate SAST/dependency scanning in CI/CD (catch issues per change)
✓ Regular pen testing for critical apps; threat modeling; security code review
✓ WHY: security breaches are SEVERE (data leaks, financial/legal/reputation damage) →
  finding vulnerabilities before attackers do is critical
```

## 为什么这很重要

理解安全测试是重要的高级知识，因为**安全漏洞可能产生严重后果**（违规、数据泄露、财务和声誉损害），所以对其进行测试是必不可少的，使其成为重要知识。

安全测试评估软件中的**漏洞**（注入、XSS、身份验证/授权不当、数据泄露、易受攻击的依赖项 — OWASP 十大类型的缺陷），并验证其防御措施 — 确保软件能够抵抗攻击并保护数据和用户，这是一项关键质量考量，因为安全故障危害巨大。

理解**类型和技术**至关重要：**SAST**（对源代码进行静态分析以查找漏洞，可在 CI 中运行）、**DAST**（通过攻击运行中的应用程序进行动态测试）、**依赖项扫描/SCA**（查找库中的已知漏洞 — 考虑到供应链风险，这变得越来越重要）、**渗透测试**（道德黑客积极尝试入侵以找到真正的可利用缺陷）和秘密/配置扫描 — 每种都解决了安全的不同方面。

理解**集成安全（左移）** — 在开发和 CI 中尽早测试漏洞（而不仅仅是最后）、在 CI/CD 中自动化 SAST 和依赖项扫描、对关键应用进行定期渗透测试，以及其原理（在攻击者发现之前找到漏洞，因为违规很严重） — 反映了将安全测试集成到开发过程中的现代方法。

安全是一个基本的、常被低估的质量维度，理解如何测试漏洞随着安全威胁的增长而变得越来越重要。

由于安全漏洞有严重后果，安全测试（SAST、DAST、依赖项扫描、渗透测试、通过左移早期集成）是在攻击者利用漏洞之前发现漏洞的方式，并且由于理解技术和方法对构建安全软件很重要，理解安全测试是重要的高级知识 — 对于解决质量的关键安全维度、在漏洞被利用前找到它们以及反映在安全威胁显著且不断增长的环境中高级角色所需的安全意识很重要。