Semgrep 安全审查代理

解决什么问题

日常开发里，安全问题常常在代码合并后才被发现。依赖人工 review 容易漏掉注入类缺陷和违反安全基线的写法，等渗透测试或攻击事件发生时，修复成本已经很高。

这个技能把 Semgrep 的静态分析能力带入代码评审流程：在提交或 CI 阶段自动扫描源码，提前暴露 OWASP Top 10 相关漏洞、SQL/命令注入、硬编码密钥等不安全模式，而不是等人工逐行审查时才发现。

它如何工作

技能的核心是调用 semgrep CLI，结合官方 Registry 规则集 对代码做模式匹配式的静态分析：

• 扫描入口：通过 semgrep ci 等命令对当前工作目录执行扫描，规则来源包括 Registry 预置规则和本地自定义规则；
• 漏洞检测：覆盖注入缺陷、不安全 API 调用、凭据泄露等常见类别，结果以结构化报告输出，包含文件位置和匹配片段；
• 规则扩展：支持用 YAML 编写自定义规则。当团队有内部安全基线（比如禁止某个函数、强制特定参数配置）时，可以写成规则文件加入扫描，实现持续强制；
• 多语言支持：Semgrep 支持 30+ 种语言，技能可复用这一特性覆盖前后端混合仓库。

适用边界与注意点

• 只做静态分析：它发现的是代码中静态可判定的缺陷模式，无法检测运行时行为、逻辑设计缺陷，也不能替代动态测试或渗透测试；
• 误报需要治理：规则集覆盖广意味着会有噪音，团队应建立反馈机制，把误报通过注释或规则调优逐步排除；
• 规则质量决定上限：默认规则只能兜底常见风险，内部特有的安全约束仍需团队自己维护 YAML 规则；
• 依赖上游工具链：技能本身不附带引擎，使用前需要环境中已安装可用的 semgrep。