Semgrep 安全扫描器

为什么需要它

不少团队的代码安全检查靠人工 review 加零散脚本，问题不少：规则分散在不同地方，没法统一；通用扫描器误报多，浪费大量时间排查假阳性；新人接手时，不知道该从哪儿入手维护规则。这些问题会让安全检查变成“走过场”，真正有风险的漏洞反而被遗漏。

它是怎么工作的

这个技能基于 Semgrep 的静态分析能力，核心逻辑很直接：

• 覆盖常见漏洞：用 Semgrep OSS 规则集匹配已知安全模式，比如 SQL 注入、XSS、硬编码密钥，覆盖 30 多种主流语言；
• 自定义团队规则：如果团队有特有风险（比如内部 API 的误用、特定框架的反模式），可以直接写 YAML 规则描述匹配逻辑，不需要改代码；
• 接入 CI 流程：扫描完成后输出 SARIF 格式结果，能直接对接 GitHub Actions、GitLab CI 等流水线，把安全检查变成代码提交的“必经步骤”，而不是可选的额外任务。

适用边界与注意点

• 它是纯静态分析工具，只看代码文本，不会运行代码，因此无法发现运行时的动态问题（比如依赖库的未修复漏洞、环境变量导致的权限错误）；
• 规则质量直接影响扫描效果：OSS 规则集需要定期更新，自定义规则更得定期 review，避免过时规则产生误报或漏报；
• 大型项目可能需要调整扫描范围（比如跳过第三方依赖目录），否则会影响扫描速度或增加无关结果。