Semgrep 规则运行器

问题：规则散落，扫描结果难进入统一处置

团队常把 Semgrep 规则写成自定义 YAML 规则包，用于发现误用 API、安全风险和编码规范偏差。但当规则分散、命令参数不一致、输出格式不统一时，扫描结果很难沉淀到集中的 finding 列表、分诊流程或后续回归跟踪中。这个技能解决的是：把 Semgrep CLI 的规则执行、社区规则选择、JSON 输出解析和 App API 集成串成一条可操作的流水线。

工作方式

它以当前项目为扫描上下文，使用 semgrep 命令执行静态分析；可指定自定义 YAML 规则包，也可通过 --config auto 拉取社区规则做基线或补充覆盖。扫描后用 --json 得到结构化结果，便于解析、过滤、聚合和对齐代码位置；随后把 finding 接入 Semgrep App API，用于集中管理扫描发现并支撑 triage workflows。

适用边界与注意点

它更偏工程化编排，不替代规则编写质量：自定义 YAML 规则如果写得宽泛或过时，会产生噪音或漏报。--config auto 适合社区基线，但组织内部约束仍需显式规则补充。集中管理依赖 Semgrep App API 的可用性与权限；扫描范围、CI 集成方式和结果治理仍需结合仓库语言、依赖结构与安全策略单独设计。