用途：该技能面向静态应用安全测试（SAST）工具的搭建、配置与自定义规则创建，覆盖多语言代码的安全扫描，适用于在 CI/CD 流水线中建立自动化漏洞检测。
主要能力：包含三部分。Semgrep 支持基于模式匹配的自定义规则、多语言安全规则、CI/CD 集成与误报调优；SonarQube 支持质量门禁配置、安全热点分析、覆盖率与技术债跟踪、自定义质量配置及 LDAP/SAML 企业集成；CodeQL 支持 GitHub Advanced Security 集成、自定义查询开发、漏洞变体分析与 SARIF 结果处理。
使用方式：先识别语言、仓库与合规要求，选择工具并定义基线策略，再接入 CI/CD 并设置门禁阈值，随后根据误报调整规则与抑制项，最后跟踪修复。快速开始命令：pip install semgrep；semgrep --config=auto --error；docker run -d --name sonarqube -p 9000:9000 sonarqube:latest；gh extension install github/gh-codeql；codeql database create mydb --language=python。合规扫描示例：semgrep --config p/pci-dss --json -o pci-scan-results.json。
适用场景：新项目安全扫描搭建、自定义规则开发、合规扫描（如 PCI-DSS）、CI/CD 与 pre-commit 钩子集成。
限制：不适用于仅需 DAST 或人工渗透测试、无法访问源码或 CI/CD、以及需要组织政策决策而非工具配置的情况。未经批准不要用第三方服务扫描敏感仓库，并防止扫描产物与日志泄露密钥。工具对比中提及 Semgrep 支持 30+ 语言、SonarQube 25+ 语言、CodeQL 10+ 语言，具体收费与价格资料未明确提供。