semgrep

多语言代码安全扫描

补充说明

semgrep 用模式匹配规则检查代码中的安全问题、反模式和业务规则。它支持多种语言，可本地运行，也可接入 CI。

常用示例

semgrep scan
semgrep --config auto
semgrep --config p/security-audit
semgrep --config p/secrets .
semgrep --severity ERROR --json -o report.json
semgrep ci
semgrep --config rules/ ./src

.semgrepignore：

vendor/
node_modules/
dist/

易错点与排错

• --config auto 会联网拉取规则；离线环境要提前准备规则文件。
• 规则质量和语言支持差异很大；高危规则要人工复核。
• 默认规则可能有误报；用 nosemgrep 注释或规则排除，并写原因。
• semgrep ci 需要 token/平台配置；本地扫描和 CI 结果可能不同。
• 扫描范围过大会慢；用 .semgrepignore 排除依赖和构建产物。
• --autofix 会改代码；先提交或审查 diff。
• 扫描通过不等于安全；逻辑漏洞和配置问题仍需人工评审。

相关命令

• gitleaks — 密钥扫描
• grype — 依赖与镜像漏洞
• pre-commit — 本地钩子