用途：对静态应用安全测试（SAST）工具配置进行结构化、可重复的审查与调优，覆盖 Semgrep 规则编写、CodeQL 查询模式、严重级别调整、误报管理、自定义规则开发和 CI 集成，所有发现映射到 OWASP ASVS 4.0.3 验证要求与 CWE Top 25。
适用时机：首次部署 SAST 建立基线规则；周期性调优以降低误报率；开发组织特有的自定义规则；审查 CI/CD 集成与门禁；事后规则缺口分析；ASVS 合规映射。若通过参数提供目标，则聚焦该目标。
主要流程：
- 发现：用 Glob/Grep 定位 .semgrep.yml、.semgrep/、semgrep*、.semgrepignore、.github/codeql/、.ql、qlpack.yml、sonar-project.properties、.bandit、.eslintrc 及 .github/workflows、.gitlab-ci.yml、Jenkinsfile 等，按工具、规则来源、集成点分类。
- 覆盖分析：将启用规则映射到 CWE Top 25（2024），核查每种在用语言至少有一条规则覆盖、规则未被禁用、Top 10 CWE 严重级别不应为 INFO。
- Semgrep 规则审查：确认托管规则集固定版本、存在自定义规则目录、.semgrepignore 排除项有理由、CI 使用 --error；自定义规则需有命名空间 id、正确元变量、说明修复方式、明确 severity 与 languages，并用 pattern-not 等降低误报。
- CodeQL 审查：确认使用 security-extended 或 security-and-quality、存在自定义查询目录、paths-ignore 不排除生产代码、query-filters 排除项有记录；自定义查询需设置 @kind、@security-severity、@precision、@tags，并针对已知漏洞与安全样本测试。
- 严重级别与误报管理：将工具级别映射到组织级别（如 L1 阻断合并、L2 阻断或警告、L3 警告需复核）；抑制必须注明理由，定期复核，跟踪误报率（目标低于 20%），真阳性按 SLA 处理（严重 7 天、高 30 天、中 90 天）。
- CI 集成：SAST 应在每个 PR 运行且为必需状态检查，另有每周全库扫描，容器/动作固定版本，结果上报集中面板，PR 扫描尽量控制在 10 分钟内。
限制：资料未提供该技能的安装命令、收费、价格或具体平台支持信息。分类为安全与审计。