大讲堂
2026年招投标现场的反常信号
我跑了十年的产业现场，见过太多技术从PPT走到产线的变形过程。2026年开春跟着集成商朋友去南京参标，某省级政务云的安全采购包刚拆封，我就发现不对。 过去连续三年的同类标，安全测试类的预算90%都砸在SAST工具上，DAST只是写在备选清单里的边角料。这次的标书直接把DAST的采购份额拉到了62%，SAST的预算砍了一半。 现场答疑环节刚过十分钟，做了八年政企运维的老周直接举手，问甲方的采购负责人：“你们真算过DAST扫一次全集群的账？” 没人接话。 老周自己算了一笔账：之前他们部门买过一套海外头部厂商的DAST工具，扫一次覆盖全省1200多个政务服务APP的全量接口，要连续跑72小时。扫描过程中会模拟真实用户的各类操作请求，遇到高峰时段很容易把接口的并发占满。去年有次例行扫描，直接把社保查询的接口打挂了47分钟，当天的值班运维扣了三个月绩效。折算下来单次全量扫描的云资源成本大概1.1万，是同覆盖范围SAST扫描成本的4.2倍，相当于扫一次的钱够给基层政务服务窗口配三台新的办事终端。
被成本撕裂的技术路线博弈
不过话说回来，DAST的技术逻辑本身没什么复杂的。说白了就是在应用运行的状态下，模拟攻击者的操作找漏洞，和SAST趴在代码层做静态扫描比，找出来的漏洞更贴近真实的攻击场景。 问题就出在落地的成本上。 海外的传统DAST厂商，一套年订阅license要60万起，适配国内的政务云环境、等保要求，还要额外收30%的定制费。他们的技术路线是“全量覆盖”——不管你这个接口有没有人用，只要是系统上存在的，就得挨个扫一遍，像农业生产里的漫灌，不管作物需不需要水，整片地全浇透。算力成本高，扫描时间长，还容易误伤生产环境的正常流量。 国内从爬虫赛道转做DAST的厂商，这两年已经把路线跑歪了。杭州有家做了六年爬虫工具的小厂，2024年开始切DAST赛道，他们根本不碰全量扫描的硬骨头。引擎里接了真实的用户访问日志，先抓过去三个月访问量排前20%的热点接口优先扫，剩下80%的冷门接口，每月抽10%扫一次就行。这种模式就像精准滴灌，把算力全砸在最容易出漏洞、影响最大的位置，单次扫描时间从72小时压到了3.5小时，成本直接降到了海外厂商的1/6。
被传导的成本与普通人的处境
很多人觉得DAST的事是厂商、甲方采购、安全部门的博弈，和普通从业者没关系。错了。 首先是互联网公司的安全工程师。之前的流程是写完代码，丢给SAST扫一遍，改完漏洞就能上线。现在很多公司的合规要求里加了DAST的环节，但是公司根本不愿意花大价钱买成熟的DAST工具，就让工程师自己手动测几个常用接口，相当于把原来工具干的活，全压到了人身上。我认识一个在南京做政务系统开发的工程师，上个月因为公司要过等保，连续加了11天的班，手动测了三百多个接口的权限问题，最后算下来的加班工资，还不够买一套DAST工具一个月的license钱。 还有供应链上的小厂商。原来DAST的网页解析引擎，很多都是直接拿开源项目改的，这两年开源社区的商用协议越收越紧，商用要交授权费，小厂的成本又涨了一块。大家都在卷价格，卷到最后只能在扫描精度上做妥协，误报率从行业平均的15%涨到了30%，运维每天要花几个小时排查那些根本不存在的漏洞，时间成本又被拉高了。 现在国内的安全标准联盟正在改DAST的测评细则。之前的要求很模糊，只要“具备动态测试能力”就算过。现在正在讨论的细则里，要求扫描的接口覆盖率不能低于80%。这里的博弈就有意思了：如果定义的覆盖率是所有存在的接口的80%，那本土厂商的热点优先方案直接过不了审，大家又得回去做全量扫描，成本涨上去，最后买单的还是甲方。如果定义的覆盖率是按真实访问量算的接口80%，那海外厂商的全量扫描方案就会显得性价比极低，本土厂商会把市场份额抢得更多。 没人知道最后细则会怎么定。 很多行业里的老人都在说，DAST是未来安全测试的方向，早晚要把SAST替代掉。我见过太多这样的叙事了，从云原生到零信任，每个新概念刚出来的时候，大家都吹得天花乱坠，最后落到产线上，全是一本算不清的成本账。 再过两年，当所有的招投标文件都把DAST写进必选项的时候，你猜最后为那些扫出来的假阳性、凌晨三点被扫描打醒的告警电话、压在渠道仓库里卖不出去的license买单的人，会是谁？作者|fawen
排版|fawen
审核|柚子