這家安全公司讓1000萬行代碼每天"裸奔"，開發者卻搶著用

2020年，一家叫r2c的小公司推出了一款靜態分析工具。五年后，Dropbox、Figma、Snowflake和HashiCorp的代碼庫每天都在被它掃描——累計超過1億行。

這個工具叫Semgrep。它的反常之處在于：安全工具通常被開發者嫌棄，而它卻被主動塞進CI/CD流水線。原因很樸素——它查漏洞的語法，長得就像你正在寫的代碼。

安裝：三條命令選一個

Semgrep提供三種安裝路徑，沒有注冊流程，沒有許可證密鑰。

Python環境直接用pip：

pip install semgrep semgrep --version

想隔離環境用pipx，macOS用戶可選Homebrew，CI場景用Docker。Docker版本把當前目錄掛載到容器的/src路徑，一行命令就能跑掃描。

掃描：從"自動模式"到精準狙擊

裝完之后，最快的上手方式是auto配置：

semgrep --config auto

這條命令會拉取官方規則庫，覆蓋30多種語言的常見漏洞模式。但生產環境需要更精細的控制。

Semgrep的規則語法是它真正的護城河。傳統SAST（靜態應用安全測試）工具需要學一門"查詢語言"，而Semgrep的規則長得就像代碼本身。找硬編碼密鑰？寫一條看起來像key = "..."的模式就行。

規則可以本地保存為.yaml文件，也可以引用遠程倉庫。團隊通常的做法是：基礎規則用官方庫，業務特定風險寫自定義規則，通過--config參數層層疊加。

CI/CD集成：把漏洞攔在合并之前

單機掃描是玩具，流水線集成才是正經用途。

GitHub Actions的示例配置不到20行。關鍵參數有兩個：--error讓發現漏洞時退出碼非零，阻斷構建；--json或--sarif輸出結構化報告，喂給安全看板。

更激進的團隊會開PR評論功能。Semgrep Cloud Platform（免費10人以下）能在Pull Request里直接標注問題行，像代碼審查一樣討論修復方案。這比郵件告警有效十倍——開發者不用切換上下文。

合規層面，SOC 2、PCI DSS 4.0、ISO 27001都明確要求或推薦開發階段的靜態分析。Semgrep的輸出報告可以直接當審計證據，這一點被很多安全負責人低估。

成本結構：開源引擎 vs 云平臺

開源引擎完全免費，功能包括本地掃描、自定義規則、基礎CI集成。云平臺增加的是：團隊規則管理、PR評論、歷史趨勢、SSO。

10人以下團隊用云平臺也免費。超過10人按貢獻者數量計費，但開源引擎的功能沒有閹割——你可以永遠只用CLI，自己搭全套流程。

這種"免費層足夠用"的策略，解釋了為什么它能滲透進數千家工程團隊。沒有采購審批門檻，開發者自己就能決定用不用。

Dropbox的安全工程師曾公開提過他們的用法：自定義規則檢測內部API的誤用模式，掃描耗時控制在秒級，誤報率低到可以忽略。Figma則把它嵌在預提交鉤子（pre-commit hook）里，本地攔截明顯問題。

你的代碼庫上一次被完整掃描是什么時候？