semgrep skill 是什麼、怎麼安裝使用：Trail of Bits 的 Semgrep 安全掃描 Skill（自動選規則集、合併 SARIF）

本文根據 trailofbits/skills 倉庫裏該技能的 SKILL.md 與倉庫 README 整理，資料核對於 2026-10-11。所在倉庫 trailofbits/skills 在 GitHub 約 7462 Star（同日數據）。技能內容會隨倉庫更新，以倉庫為準。

這個 Skill 做什麼

Semgrep 是常用的開源靜態分析工具，難點不在運行，而在選哪些規則集、怎麼並行、結果怎麼彙總。Trail of Bits 的 semgrep 技能把這套編排做好了。description：對代碼庫運行 Semgrep 安全掃描——檢測語言、選擇規則集、把計劃提交給用戶明確批准，然後通過腳本批量運行所有被批准的規則集，並把輸出合並為 SARIF；被要求掃描代碼漏洞、用 Semgrep 做安全審計、找缺陷或做靜態分析時使用。

兩條「基本原則」排在最前面，都和安全審計的職業習慣有關：

1. 永遠加 --metrics=off。Semgrep 預設會發送遙測，--config auto 也會聯網回傳；審計別人的代碼時不能泄露資訊，所以每條命令都必須關閉它。
2. 掃描計劃必須經用戶批准——這是一道硬關卡，沒有你的確認不會開始掃描。

兩種掃描模式：「全部運行」追求規則覆蓋面；「只看重要的」只保留中高置信度、中高影響的安全類發現。本機有 Semgrep Pro 時，會用它做跨文件的污點分析。實際執行交給目錄裏的 run-scans.sh（批量啟動掃描進程）和 merge_sarif.py（合併結果）。

怎麼安裝

semgrep 在 trailofbits/skills 裏屬於 static-analysis 插件。Claude Code 先登記市場，再在選單裏選擇要裝的插件（命令來自倉庫 README）：

text
/plugin marketplace add trailofbits/skills
/plugin menu

Codex 用 codex plugin marketplace add trailofbits/skills，再執行 codex plugin add static-analysis@trailofbits。

倉庫整體介紹和其他安裝方式，詳見本站《trailofbits/skills 是什麼、怎麼安裝：Trail of Bits 的代碼安全審計 Skills（靜態分析、差異評審、供應鏈檢查）》。

另外需要本機已安裝 Semgrep 命令行工具。

怎麼用

• 「用 Semgrep 掃一遍這個倉庫，只看重要的發現」。
• 它會先列出檢測到的語言和打算使用的規則集，你確認或刪改後才開始。
• 「把結果按嚴重程度彙總，並標出最可能是誤報的幾條」。

目錄裏另有規則集和掃描模式兩份參考，以及一份工作流定義。

適合誰 / 侷限

適合想給項目做一輪自動化安全掃描的開發者，以及做代碼審計前期摸底的安全人員。靜態分析必然有誤報和漏報，結果需要人工分診（同插件裏有解析 SARIF 的技能）；規則覆蓋不到的業務邏輯漏洞它發現不了。

注意事項

• 許可：技能為 CC BY-SA 4.0；Semgrep 本體及其規則集有各自的許可，Pro 功能需要 Semgrep 帳號。
• 聲明的工具權限含 Bash，會運行掃描腳本並在輸出目錄寫文件。
• 只掃描你有權審計的代碼；首次運行會聯網下載規則集。