5 分钟跑通 Semgrep 静态分析安装、首次扫描与规则定制【免费下载链接】semgrepLightweight static analysis for many languages. Find bug variants with patterns that look like source code.项目地址: https://gitcode.com/GitHub_Trending/se/semgrep想象一下仓库里几千个文件某个角落藏着一处把用户输入直接拼进命令的写法。逐行翻纯体力活。这正是 Semgrep 静态分析想替你干掉的活——它用长得就像代码的搜索模式把整份代码库扫一遍把危险写法连同行号标出来。30 多种语言都能用代码始终在你本地分析默认不上传。它凭什么比 grep 强这节帮你判断值不值得把它引进团队。一句话类比它是一个懂代码的 grep。你用grep 2只能找到字面量的 2Semgrep 搜 2 时连x 1; y x 1这种算出来的 2也能揪出来。因为它匹配的是语义而不是纯文本。好处很直接你写规则就像写代码片段不用啃抽象语法树也不用跟正则表达式搏斗。一行命令装好 Semgrep这节帮你拿到可用的命令行工具。环境要求只有一条硬性的Python 3.6有 Git 更好Windows、macOS、Linux 都行。最短路径就是这一条它把 CLI 装进当前 Python 环境pip install semgrep装完敲一下semgrep --version确认版本号出来了就算就绪。进阶可选项一句话带过想从源码构建或参与开发克隆仓库https://gitcode.com/GitHub_Trending/se/semgrep后用make all编译需要提前装好 OCaml、dune 等依赖链macOS 上也可以brew install semgrep想完全零安装就借用 Docker 镜像跑一次。第一次跑通扫一个目录这节帮你亲眼看到扫描结果长什么样不用看任何输出粘贴。在项目根目录执行semgrep --lang python .它会对当前目录下所有 Python 文件跑内置的基础检查。几秒后终端会按规则分组列出命中项每条包含文件路径、行号、触发原因和一行代码上下文。有命中时退出码非 0这正是后面接 CI 的钩子没有命中就干干净净结束。给 Semgrep 写下第一条规则这节帮你把公司里禁止print调试这种土办法变成机器自动执行的规范。在仓库根目录建一个semgrep.ymlrules: - id: no-raw-print pattern: print(...) message: 调试请用 loggerprint 会在生产日志里泄漏敏感信息 severity: ERROR languages: [python]然后semgrep --config semgrep.yml .。白话解释两句pattern里print(...)里的...是通配匹配任意参数severity只是给你的发现分个轻重ERROR / WARNING / INFO方便后续按级别过滤和排序。规则文件就是普通 YAML改完重跑即生效不用重启任何服务。把 Semgrep 接进你的工作流这节帮你选一条最省心的接入路线而不是罗列所有玩法接入方式适合谁说明IDE 插件写代码的人保存即检查问题在编辑器里直接飘红Git 钩子pre-commit想守门的人提交前自动扫脏代码出不了本地CI/CD团队每次 PR 触发扫描且只报告本次改动引入的问题选择建议个人先用命令行随手跑团队先上 pre-commit再在 CI 里跑semgrep ci——它按改动范围报告发现老代码的历史问题不会一上来就淹没你。新手最容易踩的 3 个坑 扫描范围失控仓库根目录放个.semgrepignore就能排除node_modules、生成代码这类目录语法和.gitignore几乎一致支持!取反和:include引入。不放的话Semgrep 也有一套内置默认排除不会把构建产物全扫进来。 把 severity 当开关它只负责分级展示不会决定扫不扫。真正控制有发现就报错退出的是--error参数CI 里记得加上。 担心代码被上传默认全程本地分析用远程规则配置时会上报匿名的规则使用统计介意的话加--metricsoff即可。跑通semgrep --lang python .的那一刻你已经完成了大半入门。剩下的事只有一件把semgrep.yml里那条规则换成你团队第一条真正想盯死的规范。【免费下载链接】semgrepLightweight static analysis for many languages. Find bug variants with patterns that look like source code.项目地址: https://gitcode.com/GitHub_Trending/se/semgrep创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考