一条命令扫出隐患Semgrep 多语言静态分析快速上手【免费下载链接】semgrepLightweight static analysis for many languages. Find bug variants with patterns that look like source code.项目地址: https://gitcode.com/GitHub_Trending/se/semgrepSemgrep 是一个开源静态分析工具用写代码的方式描述模式就能在 30 多种语言里找出 bug 和安全隐患。本文面向想给项目加代码检查、但没写过规则的新手带你跑通第一条扫描命令。先看清一个容易漏掉的坑你 review 一个 Python 服务它从请求里读入 YAML 再交给yaml.load解析。这种危险调用散在几十个文件里人工翻代码很容易漏。Semgrep 的思路是把要找什么写成一小段代码。它不是按字符串精确匹配而是按代码结构匹配变量名、参数顺序不同也能命中。花几分钟试一次比读完一遍文档更直观。三步跑通第一条 Semgrep 扫描命令先拿到源码仓库里同时含 Python CLI 和 OCaml 核心git clone https://gitcode.com/GitHub_Trending/se/semgrep cd semgrep pip install -e .装好后用一条内联模式验证安装它会列出所有print(调用semgrep scan --langpython --patternprint(...) .能看到命中文件和行号说明本地扫描已经跑通。不写规则直接用自动配置扫描多语言项目想直接看效果用--config auto。Semgrep 会根据项目里实际出现的语言自动从规则注册表registry URL 是 https://semgrep.dev/registry挑出对应规则集semgrep scan --config auto .一次扫描覆盖三种语言multilang54 条规则查 36 个文件、js 179 条规则查 8 个文件、json 4 条规则查 3 个文件几秒钟后列出每个问题对应的规则 ID、文件和行号。内置规则集还可以直接看例如 perf/r2c-rules/ 目录里有 python、javascript、golang 等多语言规则文件。给规则加上严重级别查项目自己的坏味道一条规则就是一小段 YAML写起来和代码一样直白。下面的规则匹配任何print(...)调用命中时提示改用日志函数rules: - id: python-no-prints-in-prod languages: [python] message: Use logging.debug() instead of print() pattern: print(...) severity: INFO保存为.yml后执行semgrep scan --config 你的文件 .即可生效。写规则时可以用 $X 这类占位符代表任意变量...代表任意参数比正则更贴近真实代码。把 Semgrep 挂到 pre-commit提交前自动拦截团队协作里最省事的落点是 pre-commit钩子在git commit时先跑检查有问题直接拦住坏代码进不了主分支。这个仓库自己就在用tests/precommit_dogfooding/ 目录放了bandit.yml和python.yml两个现成规则文件第一条规则就是查yaml.unsafe_load这类反序列化漏洞还能自动给出fix建议。照着把你们自己的规则挂进去本地提交和 CI 就能复用同一套检查。 常见坑与高频问题社区版只能分析单个函数或文件内部。要做跨文件、跨函数的安全检测SAST官方建议配合平台版否则可能漏掉不少真实问题。--config auto要联网访问注册表。没有网络时换成--config指向本地规则文件即可离线扫描。用远程配置如p/ci扫描会上报匿名规则指标用本地规则文件时只有登录了才上报。加--metricsoff可以完全关掉。Semgrep 把代码该长什么样变成一条命令就能执行的检查。现在就用--config auto给你手边的项目跑第一次扫描看看它能找出什么。【免费下载链接】semgrepLightweight static analysis for many languages. Find bug variants with patterns that look like source code.项目地址: https://gitcode.com/GitHub_Trending/se/semgrep创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考