企业官网建设流程全解析

5分钟用Semgrep静态代码分析找出硬编码密钥：新手快速上手指南

【免费下载链接】semgrepLightweight static analysis for many languages. Find bug variants with patterns that look like source code.项目地址: https://gitcode.com/GitHub_Trending/se/semgrep

半夜最怕的两种事：有人在代码里明文塞了 AK 密钥；Code Review 上第十次被人问"这个 except 为什么敢裸写"。这两类问题人眼很难盯全，但它们有固定的形状。Semgrep 是一个支持多种语言的静态代码分析工具：你写一个长得像源代码的模式，它就能把整个仓库扫一遍，把命中的文件和行号全报给你。

🔎 3 条命令看到第一条扫描输出

不用配环境、不用写配置文件，克隆仓库、装好、扫起来：

git clone https://gitcode.com/GitHub_Trending/se/semgrep cd semgrep && pip install -e . semgrep scan --config auto

跑完立刻有反馈：它先告诉你扫了几种语言、多少条规则覆盖多少文件，然后 Findings 区块逐条列出规则 ID、文件、行号，还附上命中那行的代码片段。第一次拿它扫自己的项目，那种"有人替你盯着"的感觉很上瘾。

--config auto会自动拉取与项目语言匹配的官方规则注册表，开箱就有几十条安全规则。网络不稳时，直接用--config指向一个本地规则文件也一样。

🔧 手写一条规则，抓一次硬编码密钥

官方规则只是开胃菜，真正值钱的是自己团队的问题。以"密钥写死在代码里"为例：一行secret = "..."的模式，就能匹配 Python 里所有同名变量的字符串赋值。把这几行存成 yml 文件就能用：

rules: - id: hardcoded-secret languages: [python] pattern: secret = "..." message: 密钥不要写死在源码里

再跑一次semgrep scan --config your-rule.yml，命中处会带着你写的 message 一起出现在终端里。看到命中之时值得停下来问一句：这行当初为什么这么写？

模式里的...占位符相当于通配：print(...)匹配任意 print 调用，open(...)匹配任意 open 调用。吃透这一个符号，规则编写就完成了一半。

把规则长进自己项目里

把反复出现的 review 意见沉淀成规则、提交进仓库，是这套玩法的关键动作。规则文件就是普通 YAML，每条规则给 id、languages、pattern、message、severity 几个字段，放到项目里一个目录（比如rules/）再用--config rules/引用即可。规则进了 git，谁写代码谁被同一套规则扫，review 意见就从人脑里搬成了可执行资产。想抄现成写法，perf/r2c-rules/ 下有 Python、JavaScript、Go 各语言的现成安全规则可以对着改。

🌙 几行 CI 配置，让它替你值夜班

手动扫总归靠"记得"，挂到 pre-commit 或 CI 上才是真值班。GitHub Actions 只需一小段：

- name: Semgrep check uses: returntocorp/semgrep-action@v1 with: config: $SEMGREP_RULES

GitLab、Jenkins、Bitbucket 思路完全一样：构建容器里装好 semgrep 二进制，加一个跑semgrep scan --config ...的步骤。命中就红，密钥连主干都进不去。

三个常踩的坑 + 延伸入口

• 大仓库先瘦身：用--exclude排除第三方依赖、构建产物和生成代码，否则又慢又吵。
• 规则堆多反而慢：别一次上全量规则库，--config指定小子集先跑，再按需加。
• 输出太多等于没有：加--severity过滤等级，先看高危，低危的攒着批量处理。

延伸入口两个：规则字段的完整格式定义在 interfaces/rule_schema_v2.atd，拿来做性能对照用的规则集在 perf/rules/。

打开终端，把上面那三条命令敲一遍。

【免费下载链接】semgrepLightweight static analysis for many languages. Find bug variants with patterns that look like source code.项目地址: https://gitcode.com/GitHub_Trending/se/semgrep