Semgrep 模式匹配分析器

解决的问题

团队里常见的 SAST 工具往往只带一套通用规则，能拦住典型漏洞，却对业务代码里特有的模式视而不见：内部封装的 SQL 拼接函数、跨模块传递的敏感字段、团队约定的 API 调用姿势，要么误报一片，要么直接漏过。Semgrep 本身支持 30+ 语言，但手写规则成本不低：pattern、pattern-either、metavariable-regex 这些操作符组合起来容易出错，规则散落在各个仓库又难以统一维护。

技能如何工作

这个技能围绕 Semgrep 规则的编写与部署展开，核心能力包括：

• 生成自定义规则：根据目标语言和要检测的代码模式，产出基于 pattern、pattern-either 与 metavariable-regex 的 Semgrep 规则。
• 多语言覆盖：规则面向 Semgrep 支持的 30+ 语言，适用于混合技术栈的仓库。
• 规则包管理：把规则集中写入 semgrep.yml，形成可复用的规则 bundle，而不是让每条规则散落在项目各处。
• 自动修复：为规则附带 autofix 转换，让部分问题在扫描后直接得到修正，减少人工改代码的负担。

使用时，你给出要检测的代码模式或漏洞场景，技能会先定位语言与语法结构，再选择最合适的匹配操作符组织规则，最后把规则放入 semgrep.yml 并配上对应的自动修复逻辑。

适用边界与注意点

• 它不是 Semgrep 的替代品，而是规则生产的辅助：运行扫描仍需 Semgrep 本身，规则质量最终取决于你提供的模式描述是否准确。
• metavariable-regex 的正则能力有限，复杂类型推断不是它的强项，遇到深度语义问题仍需配合类型敏感工具。
• autofix 转换只适合安全、机械的改动，涉及跨文件重构或业务逻辑调整时，应先在小范围样本上验证。
• 规则上线前建议拿样本代码跑一轮回归：匹配粒度越粗，误报率往往越高。