Почему SAST на правилах не видит 50% уязвимостей: опыт аудита собственной кодовой базы
Я думал, у меня всё чисто. Bandit стоял, правила регулярно обновлялись, pipeline на каждый PR ругался на опасные места. Ну, знаете, как это бывает: где-то что-то подсветит, мы правим, живём дальше, чувствуем себя молодцами, прикрыв тыл статическим анализом. А потом я решил копнуть глубже. Не для...