SAST静态分析工具所支持的规则
综合国内外SAST工具支持的规则，这些规则包括了国际标准、国内标准、行业标准等，这里我罗列了一下，这些规则对应的标准集合。 评估一款SAST工具时，支持规则集的多少，且每个规则集是否为全集，或者接近全集，表明了一款工具的检测能力，而且是否能够对这些规则进行优化，提升检出率，减少误报，漏报。
对于每一标准中的每一条不管是强制类型、还是建议类型，都至少需要被一条SAST规则所覆盖，如果工具做的简单，就是可能需要多条规则覆盖一条标准项，如果做的更专业一点，则是把需要多条规则映射到一条标准，在检测结果展示中，看到是对每一条标准的覆盖，例如像Coverity出的Misra合规性报告，则是这种映射关系。而国军标GJB 8114、GJB 5369制定后，但是却没有要求出合规性报告，所以执行层面很灵活。而CNAS的代码审计依据的标准GB/T 34943、GB/T 34944、GB/T 34946是偏安全漏洞方面，更没有合规性报告的说法，在执行层面上每家测评中心执行情况也不同，我还记得当初作为CNAS技术负责人申请CNAS测评实验室认证时采用实验室间比对方法，大家对CNAS理解上的歧义。不管大家怎么理解，作为一款工具，支持这些标准才是王者。
下面我就罗列一下。
| 标类 | 序号 | 名称 | 全集数 |
| 国际行业标准 | 1 | OWASP TOP10 2021 当前最新基于WEB应用安全的行业标准，大部分工具具备 | A1-A10，每一类通过多个CWE缺陷实现 |
| 2 | OWASP TOP10 2017 相对过时WEB应用安全行业标准，部分老旧工具具备 | A1-A10，每一类通过多个CWE缺陷实现 | |
| 3 | OWASP MOBILE TOP10 2016 面向手机终端安全行业标准，大部分工具不支持 | M1-M0，每一类通过多个CWE缺陷实现 | |
| 4 | CWE/SANS TOP25 2023 MITRA每年发布一次，25类最常见的缺陷，其中部分与WEB应用安全相关，部分是运行时缺陷。大多数工具支持部分 | 25类CWE 编号缺陷 | |
| 5 | SEI CERT Oracle Coding Standard for Java CERT Java检测集 Java语言安全漏洞编码规则，没有包括Java Android和建议条项 | 185条 | |
| 6 | SEI CERT C Coding Standard CERT C语言编码标准 | 122条 | |
| 7 | SEI CERT C++ Coding Standard CERT C++编码标准 | 82条 | |
| 国际标准 | 8 | ISO 17961-2013,Cor 1 2016 C语言安全漏洞编码规则 | 94条 |
| 国际金融行业 | 9 | PCI-DSS V4.0 ，金融支付卡行业PCIDSS)数据安全标准 6.5.1-6.5.10主要列举了10类安全漏洞，但是覆盖整个标准需要更多 | 10类 |
| 国际航空业 | 10 | 联合打击战斗机项目系统研制与验证阶段航空器C++编程规范 | 29大类223条 |
| 11 | JPL（航空业）编码标准 | 33条 | |
| 国际 汽车制造行业 | 12 | MISRA C 2004: 1st Ed 2004.10,2nd Ed with Tech Cor 1 2008.07 工业标准的C语言嵌入式可靠性编程规范 | 143条 |
| 13 | MISRA C ++ 2008: 2008.06 工业标准的C++语言嵌入式可靠性编程规范 | 175条 | |
| 14 | MISRA C 2012: 1st Ed 2013.03,Amendment 1 2016.04,Tech Cor 1 2017.06,Amendment 2 2020.02 工业标准的C语言嵌入式可靠性编程规范 | 175条 | |
| 15 | AUTOSAR C++14, 车辆制造行业标准，只对应C/C++语言 | 397条 | |
| 国家推荐标准 | 16 | GB/T 39412-2020 代码安全审计规范 | 95条 |
| 17 | GB/T 38674-2020 应用软件安全编程指南 | 22大类上百小类 | |
| 国内行业标准 | 18 | YD/T 3464-2019 联网软件安全编程规范 | |
| 19 | SJ/T 11682-2017 C/C++语言源代码缺陷控制与测试规范 | 7大类88个小类 | |
| 20 | SJ/T 11681-2017 C#语言源代码缺陷控制与测试指南 | 7大类34个小类 | |
| 21 | SJ/T 11683-2017 Java语言源代码缺陷控制与测试规范 | 7大类58个小类 | |
| 国家标准 （CNAS） | 22 | GB/T 34944-2017 Java语言源代码漏洞测试规范 | 43条 |
| 23 | GB/T 34943-2017 C/C++语言源代码漏洞测试规范 | 32条 | |
| 24 | GB/T 34946-2017 C#语言源代码漏洞测试规范 | 40条 | |
| 国家军用 强制标准 | 25 | GJB 5369-2005 国家军用标准航天型号软件C语言可靠性编程规范 | 144条 |
| 26 | GJB 8114-2013 国家军用标准C/C++语言可靠性编程规范 | 204条 |