静态分析工具会在不运行程序的情况下扫描源代码，识别注入攻击、不安全的默认配置、硬编码密钥等常见漏洞模式。