用途：把 CodeQL 与 Semgrep 两种静态分析引擎集成进智能体工作流，用于深度漏洞检测、自定义规则编写和自动化代码审查。CodeQL 构建程序结构的关系数据库，通过查询追踪从源（用户输入）到汇（危险操作）的数据流；Semgrep 做类型感知的语法模式匹配。两者结合可发现正则扫描器遗漏的漏洞。
主要能力：智能体可针对项目特定模式编写自定义规则，例如确保所有数据库查询使用项目 ORM 封装、验证每个路由都应用认证中间件、确认错误响应不泄露堆栈跟踪。自定义规则可固化组织安全知识。
使用方式：在需要静态分析、编写自定义安全规则、将扫描集成到 CI/CD、追踪数据流或强制架构安全约束时使用；用户提及“static analysis”“CodeQL”“Semgrep”时触发。Semgrep 规则以 YAML 编写（如 .semgrep/agent-rules.yml），CodeQL 查询以 QL 编写（如 .codeql/custom-queries）。CI/CD 中可用 semgrep/semgrep-action@v1 与 github/codeql-action/analyze@v3。
适用场景：AI 生成或人工编写代码的静态分析、项目特定安全规则、CI/CD 安全门禁、数据流追踪、架构安全约束强制。
限制：资料未提供具体收费、价格与效果数据；平台兼容性中 aider 仅部分支持（YAML/QL 文件编辑），其余如 Cursor、VS Code、Windsurf、Claude Code、Cline 为完全支持。建议同时运行两种引擎以获得互补覆盖，规则增量添加，从高置信低误报模式开始，每条规则包含 CWE ID，在每次 PR 运行并阻止 ERROR 级发现合并，并随架构演进定期审查更新规则。