SAST 安全扫描配置

要解决什么问题

在 CI/CD 里上 SAST 时，常见痛点是：工具选型各说各话、自定义规则写不动、门禁一开就全红、误报把开发拖垮。本技能面向有源代码与流水线访问权限的工程师，讲清楚如何把静态应用安全测试真正跑起来，而不是只做组织层面的策略 PPT。

技能如何帮你落地

内容围绕 Semgrep、SonarQube、CodeQL 三条线展开：

• Semgrep：模式匹配规则、多语言安全规则、GitHub Actions / GitLab CI / Jenkins 集成，以及误报调优与组织策略
• SonarQube：质量门禁、安全热点、覆盖率与技术债务，以及 LDAP/SAML 等企业集成
• CodeQL：GitHub Advanced Security、自定义查询、变种分析与 SARIF 结果处理

推荐操作路径与 SKILL 一致：先识别语言、仓库与合规要求 → 选工具并定基线 → 接入 CI/CD 并设门禁阈值 → 按误报调规则与抑制项 → 跟踪修复并验证。

文档侧还指向 semgrep-config.yml、sonarqube-settings.xml、run-sast.sh 等模板，并覆盖增量扫描、路径过滤、nostmt 抑制、集成失败（令牌、代理、SARIF 兼容性）等排障场景。

适用边界

• 适合：流水线内 SAST、自定义规则、质量门禁与合规扫描、多工具纵深防御
• 不适合：只要 DAST 或人工渗透指导、拿不到源码/CI、或只需高层策略决策而无工具搭建

安全：未经审批不要用第三方服务扫敏感仓库；注意扫描产物与日志中的密钥泄露风险。