用途：该技能面向静态应用安全测试（SAST）工具的搭建、配置与自定义规则编写，用于在多种编程语言的应用代码中自动检测漏洞。适用场景包括在 CI/CD 流水线中接入安全扫描、为代码库创建自定义安全规则、配置质量门禁与合规策略、优化扫描性能并降低误报，以及组合多种 SAST 工具实现纵深防御。
主要能力：Semgrep 方面支持基于模式匹配的自定义规则、按语言（Python、JavaScript、Go、Java 等）编写安全规则、接入 GitHub Actions/GitLab CI/Jenkins、误报调优与组织策略执行。SonarQube 方面支持质量门禁配置、安全热点分析、代码覆盖率与技术债跟踪、按语言定制质量配置、LDAP/SAML 企业集成。CodeQL 方面支持 GitHub Advanced Security 集成、自定义查询开发、漏洞变体分析、安全研究工作流与 SARIF 结果处理。
使用方式：先做初始评估，识别主要语言、合规要求（如 PCI-DSS、SOC 2），据此选择工具并运行基线扫描。基础命令示例：pip install semgrep 与 semgrep --config=auto --error；docker run -d --name sonarqube -p 9000:9000 sonarqube:latest；gh extension install github/gh-codeql 与 codeql database create mydb --language=python。CI 集成可用 GitHub Actions 的 returntocorp/semgrep-action@v1，配置 p/security-audit、p/owasp-top-ten；也可通过 .pre-commit-config.yaml 配置 pre-commit 钩子。合规扫描示例：semgrep --config p/pci-dss --json -o pci-scan-results.json。
限制与注意事项：资料未提供具体收费与价格细节，仅列出免费/企业等粗略标注；实际效果取决于代码库与规则配置。常见问题包括误报率偏高、扫描性能不足与集成失败，可通过调优规则、排除测试与生成代码、增量扫描、缓存结果、校验令牌与权限等方式处理。建议从基线扫描开始，逐步增量采用规则，仅对严重问题设置阻断。