Semgrep代码静态分析工具

Semgrep代码静态分析工具

静态分析是一个非常有用的工具，使用它可以帮助开发者或者安全人员在开发阶段就能发现代码中存在的bug和安全问题。静态分析是一个综合性和系统性的工程，对于每一个开发者和安全人员来说了解其原理，并能使用工具进行初步的分析很有必要

Semgrep使用代码的标准表达进行模式匹配，而无需复杂的查询或者正则。可用于在DevSecOps各个阶段：代码编写，代码提交或者CI运行时发现Bug和漏洞。其精确的规则看起来就像要搜索的代码，无需遍历抽象语法树或与正则表达式死扛。与传统的正则表达式(和传统的grep)不同，它可以找到递归模式。这使其特别有用，可以作为学习查找任何语言模式的工具。

Semgrep还支持容器化方式部署和运行，由emgrep官方注册表中，有Semgrep社区维护的包安全性，正确性，性能，代码质量和Bug等各方面的1000多规则可直接拿来使用。

Semgrep软件安全公司r2c开发并提供商业支持。目前已经有大量的企业用于生产环境中，也有很多工具比如NodeJsScan之类底层支持引擎。

下载镜像

docker pull returntocorp/semgrep:latest