去年秋天，代码一个做后端的漏洞朋友半夜给我发消息，说线上服务突然挂了。扫描查了两小时，代码最后定位到一行代码——把用户输入的漏洞字符串直接拼进了SQL查询里。没错，扫描就是代码最老套的SQL注入。代码是漏洞两年前写的，当时扫描工具报过警，扫描但没人当回事。代码

这事让我重新审视代码漏洞扫描这件事。漏洞很多人把它当成安全流程里的扫描一道“打卡”环节，CI/CD流水线里挂个扫描步骤，代码跑完看到绿灯就放心合并。漏洞但扫描工具真的扫描能替你兜住所有问题吗？显然不能。

扫描工具到底在做什么

静态应用安全测试（SAST）工具的工作原理，说白了就是把你的源代码解析成抽象语法树，然后按照预定义的规则去匹配可疑模式。比如检测到eval()函数接收了外部变量，就标记为潜在代码注入。这种基于模式匹配的方式，决定了它天生有两个短板。

误报率高得离谱。我见过一个项目，扫描报告列出了三百多个“高危漏洞”，团队三个人花了整整一周逐个排查，最后确认真正需要修复的只有十一个。剩下的全是工具不理解业务上下文导致的误判。这种信噪比，直接后果就是开发者逐渐对扫描结果脱敏——反正都是误报，先合并再说。

漏报同样致命。那些需要跨文件、跨函数追踪数据流才能发现的漏洞，很多基础扫描工具根本无能为力。一个污点数据从HTTP请求进来，经过三层函数调用，最后在某个不起眼的地方被使用——这种链路，规则引擎很难完整覆盖。

工具替代不了判断力

我现在的习惯是：扫描工具当作第一道筛子，但绝不当作最后一道防线。每次扫描报告出来，先按漏洞类型分类，重点看几类真正危险的：涉及反序列化的、涉及文件路径拼接的、涉及命令执行的。这几类一旦漏掉，后果往往最严重。

剩下的时间花在读代码上。尤其是那些处理用户输入和外部数据的模块，自己顺着数据流走一遍。工具看不到的上下文，人脑能补上。比如同样是字符串拼接，如果变量来源是内部枚举值，那风险等级就完全不同。这种判断，工具做不了。

另外说一个容易被忽略的点：依赖项扫描。你写的代码再干净，引用的第三方库有漏洞照样出事。Log4j那个事就是最好的例子。现在我会定期跑npm audit或者pip-audit，但同样不盲信结果——有些漏洞在实际使用场景下根本不可达，升级反而引入兼容性问题。

把扫描嵌入日常习惯

与其在发布前集中扫描，不如把频率提上来。每次提交代码时跑一次增量扫描，只检查改动部分。速度快，噪音少，开发者更愿意看。配合IDE插件，写代码的时候就能看到警告，修复成本最低。

团队层面，我坚持一个做法：扫描发现的高危漏洞必须当天确认，要么修复，要么在代码里加注释说明为什么可以忽略。不允许“待定”状态过夜。这个规则执行了半年，线上因代码漏洞导致的事故从每季度两三次降到了零。

说到底，代码漏洞扫描是个工具，不是答案。它能帮你发现问题，但判断问题真假、决定怎么处理，还是得靠人。把扫描结果当作起点而非终点，这事才算做对了。