可达性分析

可达性分析的核心是判断某个漏洞函数是否真的会被业务代码调用，如果能证明调用链不可达，团队就可以安全地忽略这条告警。

可达性分析可以看作SCA的精细化延伸，在版本匹配的基础上叠加调用链分析，把“存在漏洞”收敛为“漏洞可被触发”，从而提升告警的信噪比。

工程上通常采用静态分析与运行时插桩相结合的混合方案来构建调用图，并接受一定的漏报与误报。

对开发团队的实践启示包括：优先处理可达漏洞并对不可达告警建立可追溯的豁免记录、把代理所使用的工具纳入软件供应链管理、遵循最小权限原则配置代理工具。