Semgrep 静态代码分析实战3 步装好1 条命令跑通首次扫描【免费下载链接】semgrepLightweight static analysis for many languages. Find bug variants with patterns that look like source code.项目地址: https://gitcode.com/GitHub_Trending/se/semgrepSemgrep 是一款开源静态代码分析工具用“长得像源码的模式”定位代码、找出 bug 变体支持 30 多种语言默认在本地扫描、代码不上传云端。本文从安装到跑通第一次扫描再到写规则、接 CI、排常见坑给出一条最短上手路径。字面匹配抓不到的问题用 grep 搜代码得到的是字面匹配。但 bug 的写法千变万化x 1; y x 1和total 2语义上是同一件事文本却完全不同。Semgrep 的匹配发生在语法层——搜索模式2也能命中x 1; y x 1这类变体。规则不需要正则也不需要懂抽象语法树写出来就是你日常敲的代码。这是它和文本检索工具最本质的差别也是后文所有用法的地基。三步装完 Semgrep任选一条命令# Linux / macOS / WindowsPython 环境 python3 -m pip install semgrep # macOS 用 Homebrew brew install semgrep # 不装环境容器里直接跑 docker run -it -v ${PWD}:/src semgrep/semgrep装完执行semgrep --version确认。只想试用或放进流水线Docker 方式最省事把当前目录挂到/src其余什么都不用配。跑通第一次扫描一条命令找出真实问题不写规则也能干正事用-e直接在终端里做一次性搜索。比如查 Python 里形如$X $X的自比较几乎必是手误semgrep -e $X $X --langpy path/to/src想跑成套规则就把--config指向一份 YAML不想自己准备规则时--config auto会按项目语言自动挑选。扫描输出包含文件、行号、匹配到的代码和规则说明看到哪行有问题、为什么命中第一遍就能读懂。会读输出之后下一步自然就是写自己的规则——工具从“一次性搜索”变成团队共用的检查器。像写代码一样写一条规则规则就是一个 YAML 文件最少四样东西id、pattern、languages、message。比如禁止在业务代码里用 printrules: - id: no-print pattern: print(...) message: 请改用 logging 模块输出日志 languages: [python] severity: ERROR跑semgrep --config my-rules.yml .即可生效。$X、$F这类元变量代表“任意表达式”pattern-either或、pattern-not非组合起来能表达相当复杂的检查。想抄作业可以直接读仓库自用的 semgrep.yml里面有带fix字段自动改代码的规则也有用paths限定生效目录的规则都是生产环境在用的写法。先认清能力边界社区版把分析范围限制在单个函数、单个文件之内跨文件、跨函数的数据流可达性分析属于商业平台能力。依赖漏洞扫描SCA和敏感凭证检测同样在商业版。开源版自带 taint 模式即从污点源到汇点的数据流跟踪写注入类规则够用参考样例见 tests/tainting_rules/。一句话划分单文件内找 bug、强制团队规范开源版足够要追大仓库里的跨文件复杂漏洞把商业平台算进预算。另外它默认全程本地扫描、代码不上传这一点对内网项目和受监管业务很友好。接入 CI合并前挡住新问题CLI 提供专门的semgrep ci子命令配合 CI 使用。关键行为是针对 Pull Request 扫描时只报这次 PR 新引入的问题。对存量代码库这是最现实的落地方式——新代码必须达标历史欠账不必一夜清零流水线也不会被旧问题淹没。常见坑速查退出码 1 不是程序崩了它表示发现了 blocking 级别的发现流水线据此判断成败属正常语义误报太多用规则里的paths: include/exclude收窄目录或命令行加--exclude跳过生成物临时豁免行尾加# nosemgrep可跳过该行的命中适合“此处故意这么写”的场景大仓库扫得慢--max-target-bytes可跳过超大文件不想上报指标使用 registry 规则时会发送匿名指标加--metricsoff关闭接下来往哪走跑通闭环后有三个值得做的事把团队反复口头强调的某个规范写成一条规则让约定变成机器执行翻一翻 tests/ 下按语言组织的数千个规则样例找写法规则的灵感给编码助手接上扫描——仓库内置 MCP 服务cli/src/semgrep/mcp/助手可以自己触发检查。静态分析只是入口真正让质量稳定下来的是规则被持续执行的这段时间。【免费下载链接】semgrepLightweight static analysis for many languages. Find bug variants with patterns that look like source code.项目地址: https://gitcode.com/GitHub_Trending/se/semgrep创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考