メニュー
デフォルトでは、最初にソースを確認する Prompt が選択されています。直接コマンドに切り替えるか、ローカルコピーをダウンロードすることもできます。
インストールを決める前に、SKILL.md と SkillsMP に表示されている付属ファイルをお読みください。
Codex または Claude でインストール この Prompt をコピーして Codex、Claude、または他のアシスタントに貼り付けると、Skill ページを確認してインストールできます。
直接コマンドでは確認用 Prompt が省略されます。実行前にソースを確認してください。
npx skills add https://github.com/Nox-Lumen-tech/combo-skills --skill semgrepコマンドは1行のまま表示されます。コピー前に横へスクロールして全体を確認してください。
ローカルで確認しますか？SkillsMP が現在取得できるファイルをダウンロードできます。
本地 agent 的 ragbase 远程客户端：直接查云端知识库（语义检索 / 列文档 / 翻 chunk）、嫁接已有 session 的执行成果，以及向已有 session 派发任务（dispatch）。
L1 本地静态分析。调用 Checkstyle/PMD/SpotBugs/Detekt/Ruff/Bandit/Semgrep/cppcheck/clang-tidy 等工具链对代码做客观检测，输出 CodeEvidence JSON。支持 git diff、指定路径、--all 全量扫描三档。 触发词：静态分析、lint、跑检查工具、scan code、全量扫描、run linter、检查代码规范、安全扫描、跑 semgrep、检查漏洞、从头审、全分支审。 不触发：当用户说"review this PR"/"review before merge"/"is this safe?"时，走 code-review skill（LLM 主观审查）。 适用：需要对照需求文档/知识库的深度审核 → 先本地 L1 全量出 CodeEvidence → 上传云端 L2（详见 references/cloud-api-reference.md 的 "全量 + L2 组合"）。 与 code-review 的关系：code-review = LLM 主观评审（含 diff/全分支三种场景），static-analysis = 工具客观检测（需安装工具）。两者互补，可串联使用。
企业级代码审核核心。对照需求文档/设计文档/编码规范/Bug 历史做 L2 理解性审核。 不做静态检查（那是各语言 Skill D1-D10 的事），只做需要 LLM + 知识库才能做到的深度审核。
SOC 職業分類に基づく
SKILL.md を表示中
| name | semgrep |
| description | 跨语言 SAST 扫描，SQL 注入/XSS/密钥泄露/taint tracking，支持自定义 YAML 规则 |
| execution_mode | sandbox |
| metadata | {"language":["java","kotlin","python","c","cpp","javascript","go","ruby","30+"],"upstream":{"repo":"https://github.com/semgrep/semgrep","stars":14700,"rules_repo":"https://github.com/semgrep/semgrep-rules (1,100 stars)","since":2020,"license":"LGPL-2.1","latest":"v1.157.0 (2026-03)","rules":"2,800+ 社区 / 20,000+ Pro / 600+ 高置信安全规则","languages":"30+","enterprise_usage":"1M+ 周扫描, 100M+ 行/天","notable_users":["Dropbox","Figma","Snowflake","HashiCorp","GitLab"],"mcp_server":"semgrep mcp（官方 MCP Server, AI 助手可直接调用扫描）","scan_speed":"中位 10 秒 CI 扫描","contributors":200,"integrations":["GitHub Actions","GitLab CI","Jenkins","VSCode","IntelliJ","MegaLinter","reviewdog"]},"rating":{"community":"5/5","rules_richness":"5/5","speed":"5/5","accuracy":"4.5/5","integration":"5/5","overall":"4.9/5 ⭐⭐⭐⭐⭐"}} |
| 检查范围 | 对应需求 | Semgrep 规则集 |
|---|---|---|
| SQL 注入 | "SQL注入" | p/java + p/python 内置规则 |
| XSS | "XSS攻击" | p/xss |
| 敏感信息泄露 | "敏感信息泄露" | p/secrets |
| 权限控制 | "权限控制不当" | p/owasp-top-ten |
| 公司自定义规则 | 公司特定检查 | standards-converter 从 KB 生成的 .yaml 规则 |
CLI: semgrep scan --config=auto --config=p/java --config={custom_rules_from_standards_converter}/ --json src/
特点: 支持编写公司自定义规则（YAML），可检测业务特有的安全模式
现有库: pip install semgrep（semgrep/semgrep，15K stars）。原生 JSON/SARIF 输出。重要：Semgrep 已有官方 MCP Server（semgrep mcp），可让 AI 助手直接调扫描，代码在 cli/src/semgrep/mcp/semgrep.py。Docker 运行：docker run --rm -v "${PWD}:/src" semgrep/semgrep semgrep scan --config=auto --json。2800+ 社区规则 + 自定义 YAML 规则。