Semgrep

Semgrep 是 Semgrep, Inc. 出品的应用安全平台（AppSec Platform），中文主站 semgrep.dev。它的定位是把静态应用安全测试（SAST）、开源依赖成分分析（SCA）、密钥扫描与恶意软件防护统一到一个平台，官网的说法是「让 AppSec 不必在四个工具之间来回切换」。

它做的事可以用一句话概括：在不运行代码的前提下静态扫你的代码库，把漏洞、引入依赖的已知问题、硬编码密钥和技术债找出来，并给出定过优先级的修复建议。 「不运行代码」是它与 Testin 云测 最根本的区别——那些工具要把 App 铺到真机上跑一遍，它只需要读代码。

它属于 AI编程 分类。这一格在站内此前是空的：code 分类原有 21 款，主要是写代码的 IDE 与助手（TRAE、通义灵码、Cursor、Claude Code 等）、搭应用的低代码平台，以及审 PR 代码文本的 CodeRabbit。CodeRabbit 与 Semgrep 容易混淆，但两者做的是不同的事：CodeRabbit 读的是 PR 里的 diff，给的是逐行修改建议（更像一个会读代码的同事）；Semgrep 读的是整个代码库与构建流水线，给的是一份按可达性排序的漏洞与技术债清单（更像一个不疲倦的审计员）。站内此前没有任何一款工具占「扫源码」这一格。

Semgrep 的 AI 体现在哪里，是它最该讲清的一点。 官网明确写它的做法是把确定性静态分析（deterministic static analysis）与 AI 推理结合——AI 在这里不是用来生成检测规则的，而是用来理解命名、代码结构与开发者意图，从而在模式匹配之外做判断。落到实际用途上有三处：一是降噪，AI 学习你的代码上下文来消除误报；二是定优先级，把「可达」的漏洞排在前面——修不完的时候，先修能被真正触发的；三是给修复建议，在 Pull Request 和 IDE 里直接给出定制化的修复与升级方案。

官方披露的效果口径需要照实归因：AppSec 团队 triage 的误报减少 80%、600 万+ findings 中 95% 的安全评审人员认可其判断、96% 认可 AI triage 的结论、积压首日减少 60%。这些是厂商自述的数据，官网在页面上一并给出了引用来源（Staff Security Engineer 的证言与 ROI 计算入口）。本站把它们作为「官方口径」转述，不当作第三方结论。

能力按官网首页与定价页铺开：SAST（含污点分析）、Advanced SAST（跨文件污点分析，深入第三方库）、SCA、密钥扫描、AI 噪音过滤、PR 与 IDE 内修复建议、内建护栏（guardrails）、私有规则与规则 Registry。官网说明 AI 贯穿检测、噪音过滤、修复、预防这四段整个应用安全生命周期，而不只是其中一处。

• 大陆网络：需自备国际网络，运营主体为境外公司 Semgrep, Inc.，官方站点与 SaaS 服务在大陆的访问稳定性无保证；可行路径是评估自部署
• 界面语言：全英文界面，无中文语言包
• 注册：SaaS 版邮箱注册即可使用 Free Edition；Community Edition 开源社区版可自行部署，不依赖账号
• 付费：Free Edition 免费提供核心代码扫描引擎；Teams 与 Enterprise 为付费档，具体价格与能力边界以官网定价页为准，需联系官方
• 数据合规：SaaS 形态下代码需上传到境外服务，涉及商业源码的团队通常要走自部署；开源社区版可完全自建

• 统一应用安全平台：把 SAST 静态应用安全测试、SCA 开源依赖成分分析、密钥扫描与恶意软件防护合并到一个平台上，不再是四套工具四份配置
• 确定性静态分析 + AI 推理：官网明确写明是把两者结合——AI 理解命名、结构与开发者意图，目标是超越单纯的模式匹配
• AI 消噪与优先级排序：AI 学习你的代码上下文以消除误报，并把「可达」漏洞排在前面，让有限的修复时间花在真能被触发的问题上
• 复杂逻辑缺陷检测：能发现 IDOR（越权直接对象引用）、授权失效、多步业务流程缺陷这类靠单点规则匹配不出来的漏洞
• 污点分析：跟踪数据流来找注入类漏洞，覆盖 SQL 注入、XSS、跨站脚本、SSRF 等常见形态
• 密钥扫描：在提交与构建阶段发现代码与配置里硬编码的密钥与凭证，避免凭据随代码进仓库
• 软件成分分析（SCA）：在第三方与开源组件里定位已知漏洞 CVE、管理许可证并盘点软件供应链，形成可审计的成分清单
• PR 与 IDE 内直接修复：在 Pull Request 和编辑器里给出定制化的修复方案与升级建议，不必切到另一个平台再回来改代码
• 内建护栏（guardrails）：在代码合入与发布之前提供安全检查，属于「防止问题被合并」的关卡型能力
• 四段覆盖应用安全生命周期：检测（Detect）、噪音过滤（Noise Filtering）、修复（Remediation）、预防（Prevention），官方说明 AI 贯穿这四段而不是只做一处
• 私有规则可私有发布：Teams 与 Enterprise 档可以把自研规则以 Private rules 形式发布到 Semgrep Registry，组织外不可见
• 开源社区版（Community Edition）：提供基础代码扫描引擎，可自行部署与扩展

第一步：选形态。 官网定价页分三档：Free Edition（免费起步，提供核心代码扫描引擎）、Teams、Enterprise（可按咨询项目定制），另有 Community Edition 开源社区版可自行部署。也有 SaaS 与自部署两条路。大陆团队评估时通常要重点看自部署路径——服务在境外这件事会直接影响能不能用。

第二步：接进代码流。 常规做法是接在 CI 流水线里，随构建或提交自动执行；也有面向开发者的本地与 IDE 侧使用方式。官网强调内建护栏的定位是在代码被合并之前给出 go/no-go 判断，所以它更像一道关卡而不是一份报告工具。

第三步：处理告警。 这是它最需要投入人力的地方，也正好是 AI 起作用的地方。官网描述的路径是：检测 → 噪音过滤 → 修复 → 预防。过滤环节用 AI 学你的代码上下文消噪并排序可达性，修复环节在 PR 与 IDE 里直接给出方案。剩下的高价值告警需要人做判断。

第四步：把供应链与凭据一起管。 SCA 扫第三方与开源组件的已知漏洞 CVE 并盘点许可证，密钥扫描发现硬编码凭据。这两类问题的特点是不在你的代码里，但会在你的仓库里——尤其是密钥进了 Git 历史之后，删文件是没用的。

第五步：把自研规则沉淀下来。 Teams 与 Enterprise 档可以把自研规则以 Private rules 形式发布到 Semgrep Registry，组织外部不可见。团队把自己踩过的坑写成规则共享出去，是这类工具用久之后的典型用法。

优点

• 站内第一款以「扫源码」为主业的代码安全工具，补上 code 分类里长期空着的静态分析这一格
• 把 SAST、SCA、密钥扫描、恶意软件防护收在一个平台，这是它相对单点工具最实在的省事点——配置、权限、告警通道都只维护一份
• AI 用在刀刃上：不是拿它生成规则，而是让它学你的代码上下文来降误报、排可达优先级，直接决定「今天先修哪一条」
• 能查纯规则查不出的问题：IDOR、授权失效、多步业务流程缺陷这类需要理解程序语义的漏洞，是它与传统正则式扫描的关键差别
• 修复建议贴着代码给：在 PR 和 IDE 里直接呈现修复方案与升级建议，缩短了「发现问题 → 找到文件 → 改对」的链路
• 覆盖整条供应链而不只是自有代码：SCA 管第三方组件的已知漏洞 CVE 与许可证，密钥扫描管硬编码凭据，都是容易出事又容易被漏的环节
• 开源社区版可用：基础扫描引擎可自行部署与扩展，不想被平台绑定的团队有自建路径
• 私有规则能作为私有规则发布，自研检测逻辑留在组织内部不外泄，这一点对企业有实际价值

局限

• 主体是境外公司（Semgrep, Inc.），官方站点与 SaaS 服务在大陆的访问稳定性不能保证，大陆团队通常要评估自部署路径
• 订阅按档位收费且需要联系商务了解具体条件，Free 档之外的实际成本要先问清再评估
• AI 消噪不是零误报：官方给出的效果口径是厂商自述的数据，落到具体项目上仍会有漏报与误报，重要项目要配合人工复核
• 需要代码本身可读：生成的代码、历史悠久的老项目、大量动态语言或反射密集的代码，会影响污点分析与跨文件追踪的效果
• 「可达性判断」依赖项目结构判断，跨服务、跨仓库的调用链超出单次扫描范围时结论会打折扣
• 它是**提交与构建阶段**的关卡，不替代运行时测试——跑起来之后的行为（依赖真实响应、外部服务状态）不在它视野内
• 统一平台意味着平台外的规则生态只能用它的写法，自研检测逻辑移植到别的引擎上需要重写

场景一：给流水线加一道安全关卡。 在 CI 里跑一次静态分析，把结果作为合并的前置条件。这一步改变的是「谁来决定能不能上线」——从口头约定变成工具给结论。

场景二：项目技术债压太久没人动。 先扫一遍拿到技术问题与复杂度清单，按严重度排期逐个还。相比人工通读代码，扫描的价值在于把问题变成可排序的清单。

场景三：审计要看开源成分清单。 SCA 会把第三方组件的已知漏洞 CVE 与许可证问题列出来，形成可审计的成分表。这类材料平时手写很难做全。

场景四：发现仓库里有过期密钥。 密钥扫描覆盖代码与配置。它最关键的一点在时机：凭据一旦提交进 Git 历史，删掉文件也抹不掉，所以要在扩散到第三方之前发现。

场景五：AI 生成代码越来越多。 AI 写的代码同样可能有安全缺陷。把静态分析接进流水线，成为 AI 编码之后的固定检查项——这正在从可选项变成常规流程。

场景六：安全评审前先自查一遍。 把扫描结果作为评审材料的底稿，人的注意力放在判断与决策上，而不是用来找问题。

四件事在时间轴上的位置是：写代码（IDE 类）→ 审 PR（CodeRabbit）→ 扫源码（Semgrep）→ 接口协作（Apifox）→ 应用跑起来之后测真机（Testin）。Semgrep 补的正是「审 PR 之后、上线之前」这一段静态关卡。

也要说清它的边界：它不替代运行时测试。 依赖真实响应、外部服务状态、并发时序才能暴露的问题，它看不见；老项目里大量动态语言或反射密集的代码，会让污点分析的效果打折扣。跨服务、跨仓库的调用链超出单次扫描范围时，可达性结论也会保守。

官网定价页分 Free Edition（免费起步，提供核心代码扫描引擎）、Teams、Enterprise 三档，另有 Community Edition 开源社区版可自行部署；Teams 与 Enterprise 为付费档，特殊定价与定制支持需联系官方。具体价格与各档能力边界以官网定价页为准。

价格与档位可能随时调整，以上信息以官网为准。

• 在 CI 流水线里加一道安全关卡：每次构建或每次提交自动跑静态分析，把不安全代码挡在合并之前
• 清理历史技术债：先扫一遍拿到技术问题与复杂度清单，按严重度排期逐个还，而不是等项目出事了再找
• 开源依赖合规盘点：定期扫描第三方组件的已知漏洞 CVE 与许可证问题，输出可交给审计的成分清单
• 密钥泄露自查：扫描仓库与历史提交里的硬编码密钥，在凭据扩散到第三方之前发现
• 给 AI 生成代码加一道检查：AI 产出的代码同样需要过静态分析与安全扫描，这一步正在变成常规流程
• 安全评审前自查：把扫描结果作为评审材料的底稿，让人工评审聚焦在判断而不是找问题
• 多语言项目统一安全口径：不同服务用不同语言时，用同一个平台统一规则来源与告警出口

以下工具与 Semgrep 在场景上有交集或重叠，可一并比较：