用途：作为安全工程师，使用 Semgrep 对代码库执行静态应用安全测试（SAST）、静态分析或安全代码审查。支持 Python、JavaScript/TypeScript、Java、Go、C/C++、Ruby、PHP、C#、Kotlin、Swift、Rust 等语言。
前提：需安装 Semgrep CLI，可用 pip install semgrep 或 brew install semgrep，并用 semgrep --version 验证。
使用方式：先确定要扫描的文件或目录；再选择规则集，常用配置包括 --config=auto（推荐默认）、--config=p/owasp-top-ten（OWASP Top 10）、--config=p/python、--config=p/javascript、--config=p/java 等语言专用规则、--config=p/ci（面向 CI，快速低误报）、--config=p/secrets（检测硬编码密钥）、--config=p/default（精选高信号规则）。运行扫描命令：semgrep scan --config=auto --json --output=semgrep-results.json <target-path>。随后读取 JSON 输出，按表格格式呈现结果，列为序号、严重级别、规则 ID、文件:行号、发现内容、修复建议。最后汇总扫描文件总数与按 ERROR/WARNING/INFO 分类的发现数量，优先展示严重问题及其代码上下文，并给出引用 Semgrep 规则文档的具体修复步骤。
限制：资料未提供其他平台支持、收费或价格信息；实际可用规则集与扫描效果取决于已安装的 Semgrep 版本及目标代码。