Semgrep

Semgrep 是一个应用安全平台，核心工作是对源代码做静态扫描，找出可能被利用的漏洞、开源依赖里的问题以及硬编码在代码中的密钥。它把 SAST（静态应用安全测试）、SCA（软件成分分析）和 Secrets 检测放进同一套产品里，扫描结果汇总到平台上看，而不是分散在几个工具里。

主要功能

Semgrep Code 负责在代码里找问题并给出修复建议；Semgrep Supply Chain 检查开源依赖的漏洞，并拦截恶意包；Semgrep Secrets 用语义分析找写死在代码里的密钥。规则可以自己写，也可以从 Registry 里取官方和社区现成的规则，Playground 提供在线编写和分享规则的入口。平台侧还有多模态分析，把 AI 推理和基于规则的检测结合起来做判定、分诊和修复。

针对 AI 生成的代码，Semgrep Guardian 可以在代码刚写出来时就扫描。供应链方向另有一套防护：发现零日事件后 30 分钟内触发扫描，通过 Slack、JIRA 走处置流程，Malware Firewall 则运行在开发者机器上，拦截对公共包仓库的请求，挡住恶意和受污染的包。

适合谁

主要面向写代码的工程团队和安全团队。开发者可以在自己习惯的环境里看到问题并直接修，安全团队则拿到组织级的可见性和策略控制。官网还单独列了面向初创公司的方案，以及金融科技、SaaS 与云这几类行业场景。

费用与限制

有 Community Edition 这一免费版本，商业功能需要看定价页或联系销售，页面上没有直接标出具体价格。Guardian 目前提供 30 天免费试用。使用平台功能需要注册登录，界面为英文，文档集中在 docs.semgrep.dev。