Falsos positivos de cada técnica

El análisis estático no ejecuta el programa. Razona sobre el código y por eso falla de forma predecible. No reconoce una función de limpieza escrita por el equipo y da por abierto un camino que ya está cerrado. Sigue variables que en la práctica solo toman valores de una lista fija. Marca código de pruebas o de ejemplo que nunca se despliega.

El análisis dinámico, en cambio, falla por lo que observa. Una página de error genérica puede contener una palabra que la herramienta asocia con un fallo de base de datos. Una respuesta de texto plano puede devolver la marca sin que ningún navegador la interprete como página.

Descartar un hallazgo exige evidencia. Para uno estático con un saneador propio, la evidencia más sólida es doble: el código de la función, que dice qué rechaza, y una prueba automática del equipo que lo comprueba. Con ambas el descarte se puede defender ante quien audite; sin ellas es una opinión.

Lee la tabla de hallazgos estáticos revisados y localiza la prueba que cubre la función de limpieza de SA-112.

Un hallazgo dinámico se desmiente con una pieza de la propia respuesta: el tipo de contenido, el cuerpo completo, el origen del error. En la tabla de revisados dinámicos hay tres hallazgos desmentidos, cada uno por una razón distinta. Uno se explica porque lo que volvió se entregó como texto plano y ningún navegador lo interpreta como página.

Revisar no consiste en descartar todo. De cada lote, algo queda confirmado, y esos son los hallazgos que merecen el tiempo de desarrollo. En el lote estático hay uno cuya evidencia de revisión no desmiente nada, sino que confirma el uso inseguro: una función de resumen rápido que guarda contraseñas.

Un tercer veredicto, sin alcance, es distinto de falso positivo: el hallazgo es cierto, pero no se aplica a lo que se despliega o a lo que pesa algo (un archivo de pruebas, una cookie de preferencia de idioma). Se anota aparte porque cambia si el hallazgo puede reaparecer.

Cuenta solo los veredictos de falso positivo de las dos tablas.