Semgrep 自定义模式库

要解决什么问题

编写自定义静态分析规则，往往要花大量时间在 Semgrep YAML 语法细节上：metavariable-pattern 如何匹配结构相似的代码片段、pattern-either 怎样优雅组合多个备选分支、taint-mode 能否追踪跨函数的数据流。这些知识点在文档里都有，但把它们拼成一个能覆盖 OWASP Top 10 的完整规则包，是另一回事。工程师通常面临三个具体痛点：

• 规则从零写成本高：每条规则都要验证语法是否合法、metavariable 绑定范围是否正确，试错周期长
• 跨语言覆盖不完整：Python、JavaScript、Go 的常见漏洞模式差异大，规则容易遗漏某种语言特有的写法
• 扫描盲区：默认规则集未必贴合业务代码模式，需要自定义规则来填补

技能如何工作

这个技能不替代 Semgrep 引擎，而是专注于 YAML 规则的编写与生成。核心能力包括：

• 使用 metavariable-pattern 匹配结构相似的代码，例如统一识别不同变量名下的 SQL 拼接
• 用 pattern-either 组合多个备选模式，一条规则覆盖多种写法
• 启用 taint-mode 分析，追踪不安全数据从来源（source）到汇点（sink）的流动路径
• 按 OWASP Top 10 分类生成规则包，覆盖注入、失效的访问控制、加密失败等典型风险

典型工作流程：给出代码库语言和关注的风险类别，技能生成一组语义完整的 YAML 规则，可直接放入 Semgrep 规则目录执行扫描。

适用边界与注意点

这个技能生成的是规则文本，扫描仍由 Semgrep 完成，这意味着：

• 规则质量取决于对目标代码模式的描述精度，模糊的模式容易产生误报
• taint-mode 需要正确配置 source 与 sink，跨进程或跨服务的数据流可能追踪不到
• OWASP Top 10 是基线而非全集，业务特有的威胁模型仍需额外规则
• 生成后建议先用少量样本验证，再逐步扩大扫描范围

Semgrep 本身支持 30+ 种语言，但本技能聚焦 Python、JavaScript、Go 三种语言的 OWASP Top 10 规则包，其他语言的规则需要自行扩展语法模板。