用途：使用开源静态分析工具 Semgrep，以 YAML 模式语法编写自定义规则，查找应用特定漏洞、执行编码规范并接入 CI/CD；支持 Python、JavaScript、Go、Java、C 等 30+ 语言，无需编译器知识。
主要能力：基础模式匹配；pattern-either、metavariable-regex、pattern-not 等操作符；taint 模式追踪数据流（source/sink/sanitizer），用于 XSS、SQLi、SSRF；跨多语言规则；用 fix 提供修复建议；用 metadata 标注 CWE、OWASP；paths.exclude 排除测试文件；JSON、SARIF 输出。
用法：安装可用 pip install semgrep、brew install semgrep 或 docker run -v "${PWD}:/src" returntocorp/semgrep semgrep --config auto /src，并用 semgrep --version 验证。运行示例：semgrep --config auto .、semgrep --config r/python.lang.security、semgrep --config my-rules.yaml .，可叠加多个 config，并用 --json、--sarif、--severity ERROR 控制输出。规则以 rules 列表编写，含 id、languages、severity、message、pattern 或 patterns、metadata、fix。用 semgrep --test rules/ 测试规则，测试文件用 # ruleid: 与 # ok: 注解。CI 中可用 GitHub Actions 的 returntocorp/semgrep 容器生成 SARIF 并上传，或 GitLab CI 输出 semgrep.json 作为 sast 报告。
适用场景：部署或配置该能力、建立合规安全控制、改进该领域安全架构、执行需此实现的安全评估。
限制：前提为 Python 3.8+ 或 Docker、已安装 Semgrep CLI、代码库语言受支持；其他价格、平台或效果资料暂未提供。