DAST(动态应用安全测试).

DAST 工具通过 HTTP 等协议与已部署的应用交互,无需源码即可工作。它会爬取端点、构造恶意请求并分析响应,从而检测 SQL 注入、XSS、SSRF、身份认证缺陷、错误的 CORS 配置或不安全的 Cookie 等问题。由于看到的内容与攻击者相似,DAST 与 SAST 互为补充,可发现仅在运行时出现的问题,包括配置、基础设施和第三方服务引入的问题。通常在 staging 或 QA 环境中运行,并作为 CI/CD 的发布门禁。常见工具包括 OWASP ZAP、Burp Suite、Invicti、Acunetix 和 StackHawk。