Menü
Standardmäßig ist der Prompt ausgewählt, der zuerst die Quelle prüft. Sie können zu einem direkten Befehl wechseln oder eine lokale Kopie herunterladen.
Lesen Sie SKILL.md und alle von SkillsMP angezeigten Begleitdateien, bevor Sie sich für eine Installation entscheiden.
Mit Codex oder Claude installieren Kopieren Sie diesen Prompt, fügen Sie ihn in Codex, Claude oder einen anderen Assistant ein und lassen Sie die Skill-Seite prüfen und installieren.
Ein direkter Befehl überspringt den Prüf-Prompt. Prüfen Sie die Quelle, bevor Sie ihn ausführen.
npx skills add https://github.com/Nox-Lumen-tech/combo-skills --skill semgrepDer Befehl bleibt in einer Zeile. Scrollen Sie horizontal, um ihn vor dem Kopieren vollständig zu prüfen.
Sie bevorzugen eine lokale Kopie? Laden Sie die Dateien herunter, die SkillsMP derzeit vorliegen.
本地 agent 的 ragbase 远程客户端：直接查云端知识库（语义检索 / 列文档 / 翻 chunk）、嫁接已有 session 的执行成果，以及向已有 session 派发任务（dispatch）。
L1 本地静态分析。调用 Checkstyle/PMD/SpotBugs/Detekt/Ruff/Bandit/Semgrep/cppcheck/clang-tidy 等工具链对代码做客观检测，输出 CodeEvidence JSON。支持 git diff、指定路径、--all 全量扫描三档。 触发词：静态分析、lint、跑检查工具、scan code、全量扫描、run linter、检查代码规范、安全扫描、跑 semgrep、检查漏洞、从头审、全分支审。 不触发：当用户说"review this PR"/"review before merge"/"is this safe?"时，走 code-review skill（LLM 主观审查）。 适用：需要对照需求文档/知识库的深度审核 → 先本地 L1 全量出 CodeEvidence → 上传云端 L2（详见 references/cloud-api-reference.md 的 "全量 + L2 组合"）。 与 code-review 的关系：code-review = LLM 主观评审（含 diff/全分支三种场景），static-analysis = 工具客观检测（需安装工具）。两者互补，可串联使用。
企业级代码审核核心。对照需求文档/设计文档/编码规范/Bug 历史做 L2 理解性审核。 不做静态检查（那是各语言 Skill D1-D10 的事），只做需要 LLM + 知识库才能做到的深度审核。
Basierend auf der SOC-Berufsklassifikation
SKILL.md wird angezeigt
| name | semgrep |
| description | 跨语言 SAST 扫描，SQL 注入/XSS/密钥泄露/taint tracking，支持自定义 YAML 规则 |
| execution_mode | sandbox |
| metadata | {"language":["java","kotlin","python","c","cpp","javascript","go","ruby","30+"],"upstream":{"repo":"https://github.com/semgrep/semgrep","stars":14700,"rules_repo":"https://github.com/semgrep/semgrep-rules (1,100 stars)","since":2020,"license":"LGPL-2.1","latest":"v1.157.0 (2026-03)","rules":"2,800+ 社区 / 20,000+ Pro / 600+ 高置信安全规则","languages":"30+","enterprise_usage":"1M+ 周扫描, 100M+ 行/天","notable_users":["Dropbox","Figma","Snowflake","HashiCorp","GitLab"],"mcp_server":"semgrep mcp（官方 MCP Server, AI 助手可直接调用扫描）","scan_speed":"中位 10 秒 CI 扫描","contributors":200,"integrations":["GitHub Actions","GitLab CI","Jenkins","VSCode","IntelliJ","MegaLinter","reviewdog"]},"rating":{"community":"5/5","rules_richness":"5/5","speed":"5/5","accuracy":"4.5/5","integration":"5/5","overall":"4.9/5 ⭐⭐⭐⭐⭐"}} |
| 检查范围 | 对应需求 | Semgrep 规则集 |
|---|---|---|
| SQL 注入 | "SQL注入" | p/java + p/python 内置规则 |
| XSS | "XSS攻击" | p/xss |
| 敏感信息泄露 | "敏感信息泄露" | p/secrets |
| 权限控制 | "权限控制不当" | p/owasp-top-ten |
| 公司自定义规则 | 公司特定检查 | standards-converter 从 KB 生成的 .yaml 规则 |
CLI: semgrep scan --config=auto --config=p/java --config={custom_rules_from_standards_converter}/ --json src/
特点: 支持编写公司自定义规则（YAML），可检测业务特有的安全模式
现有库: pip install semgrep（semgrep/semgrep，15K stars）。原生 JSON/SARIF 输出。重要：Semgrep 已有官方 MCP Server（semgrep mcp），可让 AI 助手直接调扫描，代码在 cli/src/semgrep/mcp/semgrep.py。Docker 运行：docker run --rm -v "${PWD}:/src" semgrep/semgrep semgrep scan --config=auto --json。2800+ 社区规则 + 自定义 YAML 规则。