Semgrep 静态分析工具安装配置指南：从零跑通第一次代码扫描

Semgrep 静态分析工具安装配置指南：从零跑通第一次代码扫描

【免费下载链接】semgrepLightweight static analysis for many languages. Find bug variants with patterns that look like source code.项目地址: https://gitcode.com/GitHub_Trending/se/semgrep

Semgrep（全称"Semantic Grep"）是一个开源静态分析工具，用"长得像源码"的模式来扫描代码、找 Bug 和安全隐患。读完本文，你会装好 Semgrep 并跑通第一次扫描，还能写出自己的第一条规则。

它帮你解决了什么

• 提交代码前，发现硬编码的密钥、明文密码这类安全隐患，而不是等上线后被扫出来；
• 在 CI 流水线里自动拦截不安全的写法，比如危险的反序列化调用，问题在合并前就被拦住；
• 用它做"语义搜索"：搜2时，x = 1; y = x + 1这种经过变量传递的写法也能被匹配到，这是传统 grep 做不到的。

传统 grep 只能匹配文本，Semgrep 理解代码结构（静态分析即在不运行代码的前提下分析代码的结构和行为），所以规则不用写正则或抽象语法树，直接照着真实代码写就行。

动手前，先确认这几样

• ✅Python ≥ 3.10（python3 --version确认）：Semgrep 的 CLI 是 Python 包，pip 安装时需要它；
• ✅Git：源码方式安装、以及扫描 Git 仓库时都会用到；
• ⚠️磁盘空间约 1GB：pip 安装会拉取预编译的核心分析引擎，首次安装下载量不小。

挑一种方式装起来

三步完成 pip 安装（最推荐）

适合绝大多数 Linux / macOS / WSL 环境，一条命令装好最新版：

python3 -m pip install semgrep

装完用semgrep --version确认版本即可。macOS 上也可以用 Homebrew，效果等价：

brew install semgrep

用 Docker 免安装试玩

不想污染本地环境、只想试试效果时，容器是最干净的选择，它会把当前目录挂进镜像里扫描：

docker run -it -v "${PWD}:/src" semgrep/semgrep semgrep scan --config auto /src

源码构建（给想改代码的你）

仓库是 OCaml + Python 混合项目，需要 opam、dune、gcc 等编译链，普通使用者不必折腾。克隆后按序执行：

git clone https://gitcode.com/GitHub_Trending/se/semgrep cd semgrep && make setup && make install

make setup会自动安装 OCaml 依赖，make install把编译出的 semgrep 装进 PATH。

第一次跑起来

进入你自己的项目目录，先用官方内置规则集做一次全量扫描，感受一下输出长什么样：

semgrep scan --config auto

这条命令让 Semgrep 自动下载社区规则集，对当前目录做全语言扫描。扫描结果大致长这样：每条 finding 包含规则 ID、说明文字和命中行的代码。

跑完再从零写第一条规则。新建rule.yml，只有 5 行：

rules: - id: no-print pattern: print message: 生产代码中避免 print，请改用 logger severity: WARNING languages: [python]

这段配置声明了一条规则：在所有 Python 文件里找print调用，命中就报 WARNING 并附提示语。然后执行：

semgrep scan --config rule.yml .

看到自己规则命中的 finding，说明安装配置全部完成。项目里也可以放.semgrepignore文件，格式和.gitignore一样，用来排除不想扫的目录。

装完之后的下一步

• 接入 CI/CD：在流水线里跑semgrep ci，只对 PR 新增代码报警，存量问题不会被翻旧账；
• 接 IDE 与编辑器：通过 pre-commit 钩子或 MCP 服务在编码时自动触发扫描；
• 自定义规则：参考官方文档的规则语法，把团队编码规范逐条沉淀成规则库。

安装中遇到报错？优先翻项目 issues 或社区讨论，大多数依赖冲突都有现成答案。

【免费下载链接】semgrepLightweight static analysis for many languages. Find bug variants with patterns that look like source code.项目地址: https://gitcode.com/GitHub_Trending/se/semgrep