littlejc的部落格

SCA(Static Code Analysis)! 顧名思義就是指對我們應用程式的程式碼進行分析，

以找出該應用程式淺在的弱點所在，常見的分析方法有兩種，分別為：

人工檢視與分析(Manual Code Review)

• 優點：可能可以有效找出商業邏輯層面的弱點，或是應用程式品質面的弱點。
• 缺點：耗時長、費用昂貴、效率較為不佳等。

• 優點： 速度快、效率較佳、通常會針對弱點進行分類並給予嚴重性的分數，以利開發人員參考。
• 缺點： 需搭配或購買相關的工具協助、分析結果的誤報率或是漏報率若過高反而有可能適得其反。

然而何謂應用程式淺在的弱點? 大致上我們可以將弱點區分為兩大面向：

品質層面(Code Quality) 

• 常見的問題有：Memory leak, Connection leak, Possible bugs, Dead code 等。

•  常見的問題有：SQL Injection, Cross-Site Scripting (XSS) 等針對網頁應用程式的攻擊手法。