SAST (Static Application Security Testing)

Ferramentas SAST transformam o código em representações intermediárias (AST, grafos de controle e fluxo de dados) e aplicam regras ou análise de taint para detectar padrões inseguros associados a CWEs. Por não executarem o código, integram-se naturalmente a IDEs, hooks pre-commit e pipelines de CI/CD, e podem analisar código ainda não publicado. O SAST é forte em bugs determinísticos (SQL injection, sinks de XSS, segredos no código, criptografia fraca), mas gera falsos positivos e perde problemas que só aparecem em tempo de execução; por isso é combinado com SCA e DAST. Ferramentas comuns: Semgrep, GitHub CodeQL, SonarQube, Checkmarx e Fortify.