用途：为多种编程语言搭建静态应用安全测试（SAST）能力，包括工具安装、配置、自定义规则创建，以及把扫描接入 CI/CD 流水线与合规策略。适用场景：在 CI/CD 中设置 SAST 扫描、为代码库编写自定义安全规则、配置质量门禁与合规策略、优化扫描性能并减少误报、集成多个 SAST 工具做纵深防御。
主要能力：Semgrep 支持模式匹配自定义规则、多语言安全规则、CI/CD 集成（GitHub Actions、GitLab CI、Jenkins）、误报调优与组织策略；SonarQube 支持质量门禁、安全热点分析、代码覆盖率与技术债跟踪、按语言自定义质量配置、LDAP/SAML 企业集成；CodeQL 支持 GitHub Advanced Security 集成、自定义查询开发、漏洞变体分析与 SARIF 结果处理。
使用方式：先确认语言、仓库与合规要求，选择工具并定义基线策略，再接入 CI/CD 并设置门禁阈值，根据误报调优规则与抑制项，最后跟踪修复并验证。资料提供的快速开始命令：pip install semgrep；semgrep --config=auto --error；docker run -d --name sonarqube -p 9000:9000 sonarqube:latest；gh extension install github/gh-codeql；codeql database create mydb --language=python。GitHub Actions 示例使用 returntocorp/semgrep-action@v1，配置 p/security-audit、p/owasp-top-ten；pre-commit 需在 .pre-commit-config.yaml 中引用仓库并传入 args: ['--config=auto', '--error']。还提供 semgrep-config.yml、sonarqube-settings.xml、run-sast.sh 等模板。
限制与注意：不适用于仅需 DAST 或人工渗透测试、无法访问源码或 CI/CD、需要组织政策决策而非工具配置的情形。不要未经批准用第三方服务扫描敏感仓库，并防止扫描产物与日志泄露密钥。工具对比显示 Semgrep 适合自定义规则与快速扫描、30+ 语言；SonarQube 兼顾质量与安全、25+ 语言；CodeQL 适合深度分析与研究、10+ 语言，但具体收费与支持范围暂未提供。输出不应替代针对具体环境的验证、测试或专家评审，缺少输入、权限或成功标准时应先澄清。