В чём разница между SAST и DAST и какой из них запускается раньше?

SAST анализирует код или артефакт без запуска приложения, DAST проверяет работающее приложение снаружи.

SAST обычно включают раньше в pipeline, а DAST требует доступного тестового окружения. Они находят разные классы проблем и дополняют друг друга. Ни один подход не гарантирует отсутствие уязвимостей; результаты требуют проверки и приоритизации.