用途：读取、分析并处理静态分析工具产出的 SARIF 文件（SARIF 2.1.0，OASIS 标准），用于聚合多工具发现、去重过滤告警、提取漏洞、接入 CI/CD 以及转换格式。不适用于运行扫描、编写 CodeQL/Semgrep 规则或直接分析源码。
主要能力：理解 SARIF 层级结构（sarifLog→runs[]→tool.driver、results[]、artifacts[]）；按 ruleId、level（error/warning/note）、文件与行号提取结果；利用 fingerprints/partialFingerprints 跨运行追踪、基线对比与回归检测；聚合多文件并去重；路径归一化处理 file://、URL 编码与相对路径差异。
工具与用法：CLI 快速查询用 jq，如 jq '[.runs[].results[]] | length' results.sarif；Python 简单脚本用 pysarif（pip install pysarif）；聚合与报告用 sarif-tools（pip install sarif-tools），其 CLI 支持 sarif summary、sarif ls --level error、sarif diff、sarif csv、sarif html；也可用 .NET SARIF SDK、JavaScript sarif-js、Go garif 或在线 SARIF Validator 校验。
适用场景：CI/CD 中上传 SARIF、按严重级别失败构建、比较基线与当前结果找出新增问题。
限制：字段多为可选，需防御式访问；不同工具/环境的指纹与路径可能不一致，代码重排会改变行号；超大文件（100MB+）建议用 ijson 流式处理；处理前应先做 schema 校验。具体收费与平台信息暂未提供。