用途：为代码库搭建与配置静态应用安全测试（SAST），覆盖 Semgrep、SonarQube、CodeQL 等工具，适用于在 CI/CD 中接入扫描、编写自定义安全规则、配置质量门禁与合规策略、优化扫描性能并降低误报、以及多工具纵深防御集成。不适用于仅需 DAST 或人工渗透测试、无源码或 CI/CD 访问权限、或需组织政策决策而非工具配置的场景。
主要能力：Semgrep 支持基于模式匹配的自定义规则、多语言安全规则、GitHub Actions/GitLab CI/Jenkins 集成与规则调优；SonarQube 支持质量门禁、安全热点分析、覆盖率与技术债跟踪、自定义质量配置及 LDAP/SAML 集成；CodeQL 支持 GitHub Advanced Security 集成、自定义查询、漏洞变体分析与 SARIF 结果处理。
使用方式：先识别语言、仓库与合规要求，选择工具并定义基线策略，接入 CI/CD 并设置阈值，再根据误报调优规则与抑制项，最后跟踪修复并验证。命令示例：pip install semgrep；semgrep --config=auto --error；docker run -d --name sonarqube -p 9000:9000 sonarqube:latest；gh extension install github/gh-codeql；codeql database create mydb --language=python；compliance 扫描：semgrep --config p/pci-dss --json -o pci-scan-results.json。提供模板 semgrep-config.yml、sonarqube-settings.xml、run-sast.sh。
适用场景：新项目安全接入、自定义规则开发、合规扫描、CI/CD 与 pre-commit 集成。
限制与注意：未经批准勿用第三方服务扫描敏感仓库，防止扫描产物与日志泄露密钥。工具费用、具体价格与完整平台支持资料未详细提供。