用途：该技能用于搭建和配置静态应用安全测试（SAST）工具，在应用代码中自动检测漏洞，适用于在 CI/CD 流水线中建立安全扫描、编写自定义规则、配置质量门禁与合规策略等场景。
主要能力：Semgrep 支持基于模式匹配的自定义规则、多语言安全规则、CI/CD 集成（GitHub Actions、GitLab CI、Jenkins）、误报调优与组织策略执行；SonarQube 支持质量门禁、安全热点分析、覆盖率与技术债跟踪、语言质量配置及 LDAP/SAML 企业集成；CodeQL 支持 GitHub Advanced Security 集成、自定义查询开发、变体分析与 SARIF 结果处理。资料还提供工具对比：Semgrep 适合自定义规则与快速扫描（30+ 语言），SonarQube 兼顾代码质量与安全（25+ 语言），CodeQL 适合深度分析（10+ 语言，开源免费，GitHub 原生）。
使用方式：以 Semgrep 快速开始为例，命令为 pip install semgrep 与 semgrep --config=auto --error；SonarQube 可用 docker run -d --name sonarqube -p 9000:9000 sonarqube:latest；CodeQL 用 gh extension install github/gh-codeql 与 codeql database create mydb --language=python。CI 集成示例使用 returntocorp/semgrep-action@v1，pre-commit 钩子通过 .pre-commit-config.yaml 配置。合规扫描示例：semgrep --config p/pci-dss --json -o pci-scan-results.json。
限制与注意：建议先跑基线扫描、增量采用规则并对严重问题设阻断；误报可通过规则调优、路径过滤与允许列表管理；性能问题可启用增量扫描、并行化与结果缓存；集成失败需检查令牌、网络代理与 SARIF 兼容性。资料未提供各工具的收费价格细节与具体性能数据。