AppScan在进行动态分析（DAST）和静态分析（SAST）时，各有其优势和局限性。

### 动态分析（DAST）的优势：

1. **攻击者视角**：DAST从外部攻击者的角度进行测试，能够发现大多数紧急和高风险问题 。

2. **低误报率**：由于在运行的应用程序中执行测试，因此能够准确确认问题的存在 。

3. **无需源代码**：不需要访问应用程序的源代码，适合商业软件、外包应用和第三方控件的测试 。

4. **技术透明性**：能够测试任何通过HTTP/HTTPS访问的Web应用程序，不受平台和语言限制 。

5. **测试全面性**：可以测试代码、集成和架构层面的问题，而不仅仅是自定义代码 。

### 动态分析（DAST）的局限性：

1. **部署依赖性**：需要一个已部署且可通过HTTP界面访问的应用程序才能进行测试 。

2. **代码覆盖率**：可能无法完全覆盖应用程序的所有代码路径，特别是对于动态生成的内容 。

3. **信息获取限制**：从外部进行测试，无法看到内部逻辑，可能遗漏一些只有通过内部逻辑分析才能发现的问题 。

4. **问题定位困难**：难以精确定位问题源头，不提供代码行或服务器组件的具体信息 。

### 静态分析（SAST）的优势：

1. **代码深度分析**：SAST提供对内部代码的深度可见性，能够发现更多类型的问题，包括安全实践和信任度问题 。

2. **广泛的目标范围**：可以测试不仅仅是Web应用程序的任何实际程序，包括文档读取和环境变量检测 。

3. **清晰的代码覆盖率**：由于直接分析代码，可以轻松获得完整的代码覆盖率 。

4. **减少对客户端技术的依赖**：不需要通过客户端“驱动”测试，简化了对服务器端问题的测试 。

### 静态分析（SAST）的局限性：

1. **代码可见性限制**：对于没有源代码或不支持的语言的部分，SAST可能无法构建执行模型 。

2. **理解代码的局限性**：需要对应用程序的工作方式有完全的可见性，否则可能无法准确判断是否存在缺陷 。

3. **可利用性和缓和因素的不确定性**：SAST通常无法自动评估问题的可利用性或缓和因素的存在，可能导致误报 。

4. **整合问题测试困难**：如果系统安全性依赖于整合多个控件，SAST可能难以发现这些整合问题 。

总的来说，DAST和SAST在Web应用安全测试中各有优势和局限性，通常建议将两者结合使用，以获得更全面的安全测试覆盖率。