本文是一篇关于静态应用安全测试（SAST）工具采用障碍的文献综述。研究背景是现代软件漏洞频繁导致安全事件，对企业和个人造成严重影响，而SAST工具本可通过识别和修复代码漏洞来加固应用安全，但许多开发团队并未在其开发环境中采用此类工具。作者通过系统梳理近期相关文献，旨在揭示开发者对SAST工具持保留态度的原因，并识别他们在实际使用中遇到的具体问题。研究发现，开发者在使用SAST工具时面临多种可用性问题，这些问题可分为两类：一类是工具固有特性所致，需要开发者投入一定的时间和精力去适应和配置；另一类是工具自身的缺陷，需要SAST工具厂商进行改进。作者认为，要推动SAST工具的广泛采用和持续使用，开发者需要接受学习曲线和初始投入，同时工具厂商应简化使用流程、降低使用门槛。此外，解决SAST采用的主要障碍需要综合考虑技术因素和人员因素，包括提升工具的准确性、可解释性、集成便利性，以及加强对开发者的安全培训。该论文的核心贡献在于系统归纳了SAST采用障碍的类别，并提出了双管齐下的解决路径。适合安全研究人员、DevSecOps实践者、SAST工具设计师以及软件工程管理者阅读，以理解工具落地中的真实痛点。

该论文针对软件供应链中Git提交签名（commit signing）的实际使用体验开展了一项为期三个月的纵向研究。Git提交签名自2012年引入，是建立提交来源与完整性的一种机制，但开发者自主采用的比率仍然很低，且缺乏对开发者使用体验的系统研究。研究以22名高年级本科生和研究生为对象，将其视为初级开发者的代理样本。参与者被要求独立配置提交签名，在四个课程项目中常态化使用，扩展至第二台设备，检查包含异常提交的外部仓库，并回答若干安全推理问题。结果显示：几乎所有参与者都能成功对每个提交签名，并对常规签名操作给予正面评价，但在初始配置、多设备设置和仓库验证环节遇到较多摩擦。尽管整个学期都在进行签名操作，参与者在验证阶段仍难以识别异常提交，超过四分之一的参与者未能发现任何异常。此外，近半数参与者对签名保证或密钥管理存在至少一项误解。论文并未将这些困难简单归因于工具、教育或理解中的单一因素，而是得出结论：仅仅让签名变得更易用，不足以确保安全上的有效使用。安全的采用还需要工具与教育协同支持，包括针对授权身份的签名验证、对缺失签名和未知密钥的合理解读，以及对密钥生命周期操作的正确推理。该研究为供应链安全中的开发者体验提供了实证视角，对设计更安全的版本控制工作流和开发者教育具有参考价值。