Semgrep 静态分析3 步跑通第一次代码扫描的完整指南【免费下载链接】semgrepLightweight static analysis for many languages. Find bug variants with patterns that look like source code.项目地址: https://gitcode.com/GitHub_Trending/se/semgrep硬编码的密码改了三遍还在主干里SQL 拼接要到线上才暴露。Semgrep 静态分析就是干这个的用长得像源码的模式在本地扫描代码支持 30 余种语言命中后直接给出文件和行号默认不上传你的代码。项目定位Semgrep 静态分析是什么一句话说清Semgrep 是一个快速的、开源LGPL-2.1静态分析工具替开发者和安全工程师解决“同类问题每次都要人工重新找一遍”的活。它常被叫做代码的“语义版 grep”grep 搜2只匹配字符串 2Semgrep 搜2能匹配到x 1; y x 1。项目可验证的事实支持语言30 种含 Python、Java、JavaScript、Go、Rust、PHP安装方式pip、Homebrew、Docker 三种扫描位置本地或构建环境代码默认不上传规则格式YAML 文件模式写成源码的样子适用场景一次性搜索、pre-commit 检查、CI/CD 流水线最小安装路径从安装到第一次成功推荐 pip 安装Linux 和 macOS 都适用macOS 也可以 Homebrew只想临时试一把就用 Docker 镜像 semgrep/semgreppython3 -m pip install semgrep验证安装是否成功semgrep --version然后在项目根目录跑第一次扫描--configauto会按仓库里实际出现的语言自动选规则semgrep scan --configauto输出会先列出扫描了多少规则、多少文件然后是 Results每条命中都有规则 ID、文件行号和一句说明。上图为仓库 README 里的示例输出是对一个 Express 项目扫描后报出了 CSRF 中间件缺失等问题。场景实战三个日常任务不写配置文件做一次性模式搜索什么时候用当下就想查一批代码不想先建规则文件。用-e直接跟模式即可semgrep -e $X $X --langpy path/to/src$X是通配占位符可匹配任意表达式。这条命令会报出 Python 代码里左右两边相同的写法是常见 bug 来源例子直接来自官方 README。把代码扫描接进 CI什么时候用希望每次 PR 都自动检查不靠人记得住。执行semgrep login登录后在项目根目录运行semgrep ci它会扫描源码和依赖里的漏洞。接进 CI 后它只报这个 PR 新引入的问题你不必先把历史欠账清完才能开始用。给团队统一一套规则标准什么时候用想把“生产代码不许 print()”“subprocess 调用必须检查返回码”这类约定固化下来。做法是写一个本地 YAML 规则文件比如.semgrep.yml扫描时用--configxyz.yml指过去。规则里的 pattern 就照着你平时写的代码写不用学额外语法。想抄现成的看仓库tests/rules_v2/目录下的真实规则例子规则字段定义在interfaces/rule_schema_v1.yaml。排障速查现象第一步该做什么提示semgrep: command not found跑semgrep --version确认 PATH不行就重装并检查 Python 环境pip 安装反复失败先执行python3 -m pip install --upgrade pip升级 pip 再装命中太多看不完用--include*.py缩小到特定文件用--exclude排除目录预期能命中的没命中核对--lang与文件语言是否一致加--validate检查规则文件语法CI 里希望有命中就失败给扫描命令加--error参数有结果时进程以非零码退出延伸学习什么时候读哪个文件README.md想了解 Semgrep 静态分析的完整功能面、30 语言支持列表和升级命令时。cli/tests/README.md想本地跑测试套件验证规则行为时。tests/rules_v2/要写自定义规则、找真实 YAML 例子参照时。perf/README.md关心大仓库扫描速度、想跑基准测试时。开始动手python3 -m pip install semgrep装好项目根目录跑semgrep scan --configauto摸底挑高频问题写成规则文件接进 CI【免费下载链接】semgrepLightweight static analysis for many languages. Find bug variants with patterns that look like source code.项目地址: https://gitcode.com/GitHub_Trending/se/semgrep创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考