paperbot · PL 论文追踪

全部论文 待读 收藏

P2 An Empirical Study on Static Application Security Testing (SAST) Tools for Python

Python 静态应用安全测试（SAST）工具的实证研究
ICSE Proceedings of the 2026 IEEE/ACM 48th International Conference on Software Engineering2026匹配度 4/10 · 论文属于静态分析工具的实证评估，与用户对静态分析和问题驱动型评估的兴趣有一定关联；但其核心是 Python 安全 SAST 工具的 CWE 覆盖与真实漏洞检测差距，未涉及 LLM/Agent、浮点程序分析或贝叶斯程序分析等用户主要关注方向。引用 1 inbox
Zhuohang Liu, Zhi Wang, Haotong Liu, Wanpeng Li
安全与隐私程序分析与抽象解释
crossref: 2026-09-12

AI 速览

一句话：通过实证评估揭示 Python SAST 工具在检测真实漏洞方面与实际 CWE 覆盖声明之间的差距。

Python 已成为最流行的编程语言，其应用安全性备受关注。静态应用安全测试（SAST）工具被引入以满足这一需求，并声称支持广泛的通用缺陷枚举（CWE）。然而，这些工具在检测 Python 程序真实漏洞方面的能力尚未得到全面评估。本文对面向 Python 的 SAST 工具开展实证研究，系统考察其在不同 CWE 类别和真实漏洞样本上的检测表现，分析工具声明能力与实际效果之间的差异，并讨论导致漏报、误报及覆盖不足的可能原因。研究结果为 Python 开发者选择与使用 SAST 工具提供了经验依据，也为改进静态安全分析工具指明了方向。

问题
Python 应用安全至关重要，现有 SAST 工具虽声称支持大量 CWE，但其检测真实世界 Python 漏洞的实际能力缺乏全面评估。
方法
对多个面向 Python 的静态应用安全测试工具进行实证研究，基于真实漏洞样本对比其检测结果与 CWE 覆盖情况。
评估
通过真实 Python 漏洞数据集评估各 SAST 工具的检出率、漏报与误报情况，并分析其声称支持与实际检测能力之间的差距。
原文摘要（Abstract）

Python is currently the most popular programming language and ensuring the security of Python applications has become a critical concern. Static Application Security Testing (SAST) tools have been introduced to address this need, claiming to support a wide range of Common Weakness Enumerations (CWEs). However, the ability of these tools to detect real-world vulnerabilities in Python programs has not been comprehensively evaluated.

链接与引用

DOI 原文 · PDF（开放获取） ·

BibTeX 
@inproceedings{paperbot11618,
  title = {An Empirical Study on Static Application Security Testing (SAST) Tools for Python},
  author = {Zhuohang Liu and Zhi Wang and Haotong Liu and Wanpeng Li},
  booktitle = {ICSE},
  year = {2026},
  doi = {10.1145/3744916.3773110}
}