应用安全已不再只是忽视一个技术问题 ，而是应用一个战略性问题 ，然而 ，安全从《2025年应用安全状况报告》来看 ，性代许多企业仍未做出相应调整 ，忽视大多数团队不堪重负 、应用资金不足 ，安全且常常在风险不明的性代情况下进行高风险的权衡取舍 。
调查显示 ，忽视62%的应用企业明知代码存在安全漏洞 ，仍选择交付使用 ，安全近80%的高防服务器性代安全负责人担心安全漏洞会导致自己丢掉工作 ，最令人担忧的忽视是 ，超过半数的应用企业即便会进行安全相关工作 ，也仍要等到开发周期结束才介入安全环节。安全
这不是工具层面的问题 ，而是系统性问题，是文化差距 ，在应用层漏洞占安全漏洞43%的当下 ，香港云服务器这些问题正使企业暴露于风险之中 。
应用安全 ：一项战略风险软件支撑着业务运转 ，这意味着软件漏洞会使业务面临风险 ，尽管大多数公司都认识到了这一风险 ，但很少有公司有足够的资源来应对 。近90%的团队仅将11%至20%的安全预算分配给应用安全——在美国 ，安全漏洞的平均损失已攀升至948万美元 。
Cypress Data Defense公司的应用安全总监史蒂夫·科斯滕（Steve Kosten）称 ，这反映了该行业的根源问题 。他告诉我：“应用安全是源码下载网络安全的小兄弟 。大多数安全负责人都是从基础设施领域成长起来的 。对于开发人员每天部署20次 ，他们不觉得有什么；但如果网络团队也如此频繁地变更，他们就会抓狂 。”
结果可想而知 ：大量资金被投入到防火墙和边界工具上 ，而代码级安全却被忽视。
安全仍是瓶颈讽刺的是：安全本应促进创新 ，但对许多团队来说 ，它出现得太晚 ，建站模板反而拖慢了进度 。
我这么说可能暴露年龄了——20年前，我在EDS担任安全架构师时 ，我的职责之一就是在应用程序获准发布前进行最终的安全审查 。问题在于 ，等我介入时，应用程序已经开发完成，数月的工作已经投入其中 。因此 ，当我发现严重漏洞时 ，我只有两个选择：要么放行 ，祈求一切顺利 ，源码库要么当坏人 ，强制推迟发布 ，引发高昂的返工成本 。
这两个选择都不理想 ，但那是2005年的情况 。令人惊讶的是 ，到了2025年 ，许多企业仍在这样运作 。数据也支持这一点——只有36%的受访者表示会在规划阶段就引入安全环节，而高达57%的免费模板受访者则要等到部署前夕才考虑安全 。
科斯滕对此表示赞同 。他说 ：“尽管多年来一直有人宣扬应用安全的重要性，但它仍被视为一项临时任务 。只要企业缺乏安全开发流程 ，安全问题就会持续在后期出现 ，并导致发布延迟 。”
尽管我们已经经历了二十年的DevOps、威胁建模和“左移”理念的推广 ，但安全仍然是在最后才被强行加入的 ，并且仍然被视为一种障碍 ，而非合作伙伴 。
权衡取舍的文化看到62%这个数字——即企业承认故意发布不安全代码——可能会让人感到愤怒 ，但科斯滕给出了更细致的观点。他说：“真正的问题不在于代码是否带有漏洞 ，而在于企业是否了解他们所承担的风险 。”
他描述了三种类型的企业 ：一种是对自身脆弱性一无所知（真正的失败） ，一种是在没有风险评估的情况下应对问题（生存模式） ，还有一种则是基于全面的风险评估做出明智的权衡取舍（成功） 。“真正的失败在于，企业在不了解自身安全状况或所承担风险的情况下运营 。”
淹没在误报中另一个关键挑战是 ：干扰信息过多。报告显示 ，58%的团队表示 ，扫描工具产生的误报让他们不堪重负 ，这个数字可能还低估了问题的严重性 。科斯滕指出 ：“安全团队常常未经验证就将扫描工具的原始输出交给开发人员 ，这会导致两种不良后果 ：开发人员忽视他们不理解的真实问题 ，或者浪费时间修复根本不存在的问题。”
为了解决干扰信息过多的问题 ，他建议根据应用程序的上下文调整工具设置 ，优先考虑真实风险，并考虑寻求外部支持 。他说 ：“每天都在做这件事的托管服务提供商 ，往往能更快 、更准确地验证结果 。”
基础问题仍未解决尽管人们已经有了广泛的认知 ，但近一半的企业仍未解决OWASP十大安全漏洞等基础问题 ，这并不一定是因为疏忽 。正如科斯滕所指出的 ，随着时间的推移，OWASP的漏洞类别已经变得更加广泛和复杂 。“修复整个类别的漏洞并非易事 ，对于资源不足的团队来说尤其如此 。”
他还指出 ，人们错误地将安全视为合规要求，而非设计原则 。“如果安全只是在最后才被强行加入以满足审计要求 ，那么结果不会是安全的软件 ，而只是临时修补 。”
寻求外部支持的理由报告显示 ，83%的安全专业人士愿意将至少部分应用安全项目外包 ，这并非失败的标志 ，而是认识到现代开发周期需要大多数内部团队无法提供的支持 。
托管应用安全提供商不仅具备处理能力，还具备专业知识——他们对不断变化的工具、语言和威胁模型拥有丰富的经验 。科斯滕认为 ，他们的价值在于能够补充内部团队的能力 ：“让外部合作伙伴负责验证和扫描工作。这样，你的团队就可以专注于安全设计和与开发人员的协作。”
未来之路应用安全并没有变得更容易 ，人工智能生成的代码已经引入了新的漏洞 ，而攻击手段也在同步快速演变 ，大多数企业并没有相应扩大安全团队的规模 。
但解决方案不在于更多的工具 ，而在于更好的集成 、更好的可见性 ，以及一种将应用安全视为业务推动因素而非障碍的文化转变 。
几十年来 ，我们一直在谈论“左移” ，也许今年 ，我们终于能说到做到了 。