鑒釋首席技術官，陳新中

我在編譯器技術領域深耕已有30多年之久，包括MIPS和Intel等公司。目前，我領導著鑒釋科技靜態應用程序安全測試（SAST）工具的核心開發工作。該工具能夠分析處于靜態狀態的源代碼，即在軟件編譯和運行之前檢查軟件是否存在錯誤。為了做到這一點，我們的工作已經超越了編程語言的語法范圍。它不僅僅要檢查源代碼的“語法和拼寫”，還要檢查系統語義以及系統中的數據流。通過將編譯器技術應用于其中，我們模擬數據在軟件中的流動方式，并檢測在運行期間可能出現的問題，而不是在運行時再去檢測它。回歸到本質，在二進制代碼之前，我們進一步向下執行從抽象語法樹（AST）到中間表示（IR）級別的編譯器步驟，因此我們可以看到僅在編程語言代碼中看不到的流程和動作。

陳新中，鑒釋聯合創始人兼首席技術官

為了進行完整的應用程序安全性測試，SAST一般不獨立運行。 而且必須使用其它測試工具來查找軟件中的缺陷和漏洞，例如動態應用程序安全測試（DAST）和交互式應用程序安全性測試（IAST）。DAST是目前應用最廣泛的安全測試技術之一，用于在軟件運行過程中檢查問題。IAST則結合了SAST和DAST的元素，在應用程序內部進行分析。它可以在執行應用程序功能測試時完成安全測試，并且具有準確度高，誤報率低的優點。

現有的編程語言可被分為靜態和動態語言兩種，C 和C++ 是靜態型語言，在編譯時就能快速地對代碼進行分析并生成結果。 JavaScript等是動態型語言，它們的很多特征是無法在編譯時進行分析。有些漏洞是靜態分析無法判斷的，此時就要依賴IAST和DAST來把關。 沒法在編譯時分析的信息主要包括，在運行時來自外部輸入的信息，以及在運行時程序生成的某些數據，從而改變了程序流。 因此，從靜態到動態的協同分析實際上是最好的方法。

SAST工具一直在進步，但是仍然存在許多未解決的問題。 跨文件分析是我已經思考了十多年的一個特殊問題。這是一個真正的挑戰，但幸運的是，我們能夠用鑒釋研發的靜態代碼分析工具愛科識?解決這個問題。利用新算法，我們可以跨程序邊甚至跨文件分析程序，并且可以在不占用大量內存的情況下快速進行此類分析。即使軟件此時處于靜態，我們也能夠大致分析它在運行狀態下的行為。例如，愛科識?能夠靜態分析那些通常在運行時需要輸入的程序流。

超出編程語言的另一個主要問題是我們如何應用業務邏輯驗證。這不是編譯器或語言問題。我們面臨的挑戰是，如何整合并滿足公司業務重點所需的特定業務邏輯。例如，訪問者在電商網站上結賬時必須遵守的事件序列。這就是精確和自定義規則基礎的用武之地。我們可以通過符號框架對副作用進行建模和分析用戶定義的規則。如前文所述，建模是基于“數據流”完成的。 因此，它擁有非常快的分析速度，特別是與具有指數復雜性的傳統形式邏輯方法相比。

靜態代碼分析可幫助各種規模的公司解決其業務問題，與所有行業都息息相關。現階段，我正專注于嵌入式領域。比如，現在在中國乃至全世界，人工智能（AI）芯片設計都變得非常流行，初創企業如雨后春筍般涌現。物聯網則是另一個巨大的增長領域，幾乎每天都有新的智能設備問世。這些設備帶來了巨大的信息安全問題，需要被扼殺在萌芽期。特別是在該行業，在沒有嚴格合規性標準的情況下，多個設備之間存在著大量數據流。

當考慮所有這些挑戰時，就會明白為什么分析代碼的語義與語法同樣重要，甚至更重要。現代應用程序體系結構是極其復雜的，所有軟件開發都必須正確使用靜態和動態應用程序安全性測試的黃金組合。 在中國，許多公司在程序分析、缺陷檢測和性能優化方面都面臨著挑戰。希望愛科識?能夠為他們提供幫助。

關于作者

作為鑒釋首席技術官兼聯合創始人，陳新中指導鑒釋科技在中國的核心研發團隊開發靜態代碼分析工具。開發者，測試人員，質量保證專業人員和高級IT管理者都會使用這些工具來進行深入的源代碼缺陷和漏洞檢測。