Semgrep 规则作者

要解决的问题

把漏洞模式写成一条可用的 Semgrep 规则并不直观。手写 YAML 很容易在 pattern、pattern-either 或 rules 结构上出错，结果要么是语法报错，要么是误报和漏报；从文档里抄规则，又常常对不上项目里的实际写法。

核心能力

• 根据自然语言描述生成自定义 Semgrep 规则
• 用 semgrep --validate 校验规则语法，拦截低级错误
• 用 semgrep --test 对样例代码 fixture 自动跑测试
• 产出可直接进入仓库或 CI 的规则文件

工作流程

1. 用自然语言描述目标漏洞模式（如 XSS、硬编码密钥、危险函数调用）
2. 生成对应的规则 YAML，包含 id、message、severity、languages 等字段
3. 执行 semgrep --validate 检查语法
4. 准备样例代码 fixture，执行 semgrep --test 验证命中与不命中

适用边界与注意点

• Semgrep 是开源静态分析工具，覆盖 30+ 语言，可在 IDE 和 CLI 中运行
• 规则质量取决于描述和 fixture 的准确度，描述模糊时需要补充样例
• 生成的规则应结合真实代码风格做校准，不能直接当作安全结论
• 涉及复杂数据流的场景，可能需要更精细的 metavariable-pattern 或额外上下文