IAST百科全书

hello大家好，欢迎来到新一期IAST百科全书，这期和大家一起探讨一下，怎么选一个最适合自己的IAST呢？

现在我们已经知道了IAST一般有流量型、主动插桩型、被动插桩型三种，但是从技术原理上来说，可能只有被动插桩才能称为真正的IAST，为什么这么说呢？

通常，IAST的agent和APM里的agent的技术类似，IAST使用agent对插桩的应用和API进行监控，agent从运行的应用中直接检查安全相关的数据流，并传输给server端的分析引擎，server端再执行漏洞分析检测。

污点跟踪就是去跟踪那些输入到系统中的污点数据（sources），在代码中流转、传播的过程中没有经过足够的清洗、校验、过滤等无害化操作（sanitizers），就直接进行会产生安全风险的敏感操作（sinks）的数据流

我们在之前的系列中提到过IAST...