Menu
Le prompt qui vérifie d'abord la source est sélectionné par défaut. Vous pouvez passer à une commande directe ou télécharger une copie locale.
Lisez SKILL.md et les fichiers associés affichés par SkillsMP avant de décider de l'installer.
Installer avec Codex ou Claude Copiez ce prompt, collez-le dans Codex, Claude ou un autre assistant, puis laissez-le vérifier la page du skill et l'installer pour vous.
Une commande directe contourne le prompt de vérification. Examinez la source avant de l'exécuter.
npx skills add https://github.com/Nox-Lumen-tech/combo-skills --skill semgrepLa commande reste sur une seule ligne. Faites défiler horizontalement pour la vérifier avant de la copier.
Vous préférez une copie locale ? Téléchargez les fichiers actuellement disponibles dans SkillsMP.
本地 agent 的 ragbase 远程客户端：直接查云端知识库（语义检索 / 列文档 / 翻 chunk）、嫁接已有 session 的执行成果，以及向已有 session 派发任务（dispatch）。
L1 本地静态分析。调用 Checkstyle/PMD/SpotBugs/Detekt/Ruff/Bandit/Semgrep/cppcheck/clang-tidy 等工具链对代码做客观检测，输出 CodeEvidence JSON。支持 git diff、指定路径、--all 全量扫描三档。 触发词：静态分析、lint、跑检查工具、scan code、全量扫描、run linter、检查代码规范、安全扫描、跑 semgrep、检查漏洞、从头审、全分支审。 不触发：当用户说"review this PR"/"review before merge"/"is this safe?"时，走 code-review skill（LLM 主观审查）。 适用：需要对照需求文档/知识库的深度审核 → 先本地 L1 全量出 CodeEvidence → 上传云端 L2（详见 references/cloud-api-reference.md 的 "全量 + L2 组合"）。 与 code-review 的关系：code-review = LLM 主观评审（含 diff/全分支三种场景），static-analysis = 工具客观检测（需安装工具）。两者互补，可串联使用。
企业级代码审核核心。对照需求文档/设计文档/编码规范/Bug 历史做 L2 理解性审核。 不做静态检查（那是各语言 Skill D1-D10 的事），只做需要 LLM + 知识库才能做到的深度审核。
Basé sur la classification professionnelle SOC
Affichage de SKILL.md
| name | semgrep |
| description | 跨语言 SAST 扫描，SQL 注入/XSS/密钥泄露/taint tracking，支持自定义 YAML 规则 |
| execution_mode | sandbox |
| metadata | {"language":["java","kotlin","python","c","cpp","javascript","go","ruby","30+"],"upstream":{"repo":"https://github.com/semgrep/semgrep","stars":14700,"rules_repo":"https://github.com/semgrep/semgrep-rules (1,100 stars)","since":2020,"license":"LGPL-2.1","latest":"v1.157.0 (2026-03)","rules":"2,800+ 社区 / 20,000+ Pro / 600+ 高置信安全规则","languages":"30+","enterprise_usage":"1M+ 周扫描, 100M+ 行/天","notable_users":["Dropbox","Figma","Snowflake","HashiCorp","GitLab"],"mcp_server":"semgrep mcp（官方 MCP Server, AI 助手可直接调用扫描）","scan_speed":"中位 10 秒 CI 扫描","contributors":200,"integrations":["GitHub Actions","GitLab CI","Jenkins","VSCode","IntelliJ","MegaLinter","reviewdog"]},"rating":{"community":"5/5","rules_richness":"5/5","speed":"5/5","accuracy":"4.5/5","integration":"5/5","overall":"4.9/5 ⭐⭐⭐⭐⭐"}} |
| 检查范围 | 对应需求 | Semgrep 规则集 |
|---|---|---|
| SQL 注入 | "SQL注入" | p/java + p/python 内置规则 |
| XSS | "XSS攻击" | p/xss |
| 敏感信息泄露 | "敏感信息泄露" | p/secrets |
| 权限控制 | "权限控制不当" | p/owasp-top-ten |
| 公司自定义规则 | 公司特定检查 | standards-converter 从 KB 生成的 .yaml 规则 |
CLI: semgrep scan --config=auto --config=p/java --config={custom_rules_from_standards_converter}/ --json src/
特点: 支持编写公司自定义规则（YAML），可检测业务特有的安全模式
现有库: pip install semgrep（semgrep/semgrep，15K stars）。原生 JSON/SARIF 输出。重要：Semgrep 已有官方 MCP Server（semgrep mcp），可让 AI 助手直接调扫描，代码在 cli/src/semgrep/mcp/semgrep.py。Docker 运行：docker run --rm -v "${PWD}:/src" semgrep/semgrep semgrep scan --config=auto --json。2800+ 社区规则 + 自定义 YAML 规则。