类源码的规则语法
规则按代码结构而不是正则来写，读起来接近源码本身，团队能自建规则约束内部禁用写法，维护成本比自研扫描脚本低，也更容易在评审里对齐标准。
价格口径免费 + 付费档
免费额度Free Edition 免费：可用开源引擎与 Pro 规则做扫描，官方标注上限为 10 个仓库、最多 10 名贡献者，并赠送少量 AI 额度；开源社区版（CE）可自行部署不限量
分类代码审查
支持系统Windows / macOS / Linux
收录分层A · 细分强势
字段核验2026-10
适合谁用
适合
- 已有 CI 流程、想加一道自动化安全卡点的研发团队
- 需要自建规则做内部合规与规范检查的安全团队
- 有代码不出内网要求、希望自托管扫描的组织
不适合
- 只想装个机器人自动改代码、不想碰规则的用户
- 需要动态渗透测试、运行时验证这类黑盒场景
- 希望开箱即得准确报告、不做任何规则调优的团队
- 把 SAST 当成唯一安全手段、不做人工审计的项目
Semgrep 是什么
Semgrep 是一套以「规则」为核心的静态应用安全测试（SAST）工具，由 Semgrep, Inc 维护。它不依赖编译，而是把源码解析成语法树后做模式匹配，所以规则写起来接近源码本身：团队可以自己写规则约束内部禁用写法，也可以直接用官方 Registry 里上万条社区规则。实际用法分两层：命令行工具负责扫描，云端平台负责汇总、去重、分诊并拉进 CI。开源社区版（CE）可以自行扫描、可离线运行，AI 能力则属于付费产品线——Semgrep Assistant 与 Multimodal 对扫描结果做 AI 分诊、判断是否误报并给修复建议，Semgrep Guardian 面向 AI 生成代码做即时扫描。它更适合已有 DevSecOps 流程、愿意持续维护规则的团队，而不是想一键出报告的纯使用者。也要如实说明代价：误报要靠人工或付费 AI 层去压，规则调优是长期工作；本地 CLI 依赖 Python 环境，非 Python 团队要多一步；规则没人跟进就会荒废。
一句话概括：以规则为核心的静态代码扫描工具：开源引擎可离线跑，AI 分诊与修复建议属付费能力。
关键能力
多语言与跨文件分析
覆盖数十种主流语言，付费线提供跨文件、跨函数的数据流分析，能发现单个文件里看不出的污点传播路径，能顺着调用链找下去，适合多语言混装仓库。
CI / PR 自动扫描
接入 GitHub、GitLab 等平台后，每个 PR 自动扫描并把发现回评到变更上，把安全卡点放在合并之前，而不是上线之后。
AI 分诊与修复建议
付费的 Semgrep Assistant 与 Multimodal 会判断结果是否误报并给出修复方向，用来降低人工筛结果的负担，但不能替代人做最终判断。
密钥与依赖扫描
同一平台还提供硬编码密钥检测与开源依赖漏洞检测两条产品线，可以和安全规则扫描共用一套接入与流程，减少维护多套工具的成本。
自托管与离线运行
开源引擎能在本地或自有 CI 里运行，代码不出内网；只有使用云端平台的汇总与 AI 功能时，才需要把分析数据发出去，内网环境也能纳入扫描范围。
优点与不足
优点
- 扫描引擎开源，可完全在本地或自有 CI 里离线运行，代码不出内网
- 规则可自己写、可版本化管理，能贴合团队内部的编码约束
- 语言覆盖广，一次配置就能扫描多语言混装的仓库与子目录
- 社区规则库体量大，常见框架与漏洞模式基本都有现成规则
- 扫描速度与接入方式适合放进流水线，不拖慢日常开发节奏
不足
- 误报要人工或付费 AI 层去压，规则调优是一份长期活
- 真正省事的 AI 分诊与自动修复都在付费平台上，免费层额度有限
- 本地 CLI 依赖 Python 环境，非 Python 团队上手要多一步
- 规则维护的成本落在团队自己身上，没人跟进很容易荒废
- 它找的是模式化问题，逻辑漏洞与业务缺陷仍需人工审查
支持哪些模型
| 模型 / 系列 | 说明 |
|---|---|
| 官方未明确披露 | AI 分诊与修复由官方平台侧提供，未公开具体模型清单 |
AI 能力由官方平台侧调度，用户无需自带 Key，公开页面未点名所用模型；扫描引擎本身是确定性规则匹配，不依赖模型。
价格与额度
- 计价方式
- 免费 + 付费档
- 免费额度
- Free Edition 免费：可用开源引擎与 Pro 规则做扫描，官方标注上限为 10 个仓库、最多 10 名贡献者，并赠送少量 AI 额度；开源社区版（CE）可自行部署不限量
- 价格说明
- 免费版可用但有仓库与人数上限；付费按贡献者订阅，Code、Supply Chain、Secrets 三条线可分别购买，企业版另议。具体价格与额度以官网为准。
AI 编程软件的价格与额度调整频繁，本页只记计价方式、不构成报价；下单前请以 官方定价页为准。
常见问题
Semgrep 免费吗？免费额度有多少？
免费与试用方面：Free Edition 免费：可用开源引擎与 Pro 规则做扫描，官方标注上限为 10 个仓库、最多 10 名贡献者，并赠送少量 AI 额度；开源社区版（CE）可自行部署不限量。计价方式为免费增值（有免费档，进阶功能收费），超出免费范围后按官方档位付费，具体额度以官网为准。
Semgrep 支持哪些模型？可以自己换模型吗？
Semgrep 未公开底层模型清单，模型由官方选择与更新。想确认某个具体模型能否使用，建议直接看官网文档或问官方支持。
Semgrep 怎么收费？大概什么价位？
计价方式：免费增值（有免费档，进阶功能收费）。免费版可用但有仓库与人数上限；付费按贡献者订阅，Code、Supply Chain、Secrets 三条线可分别购买，企业版另议。具体价格与额度以官网为准。
Semgrep 支持哪些系统或编辑器？国内能正常用吗？
支持的系统：Windows / macOS / Linux。运行在：终端 / Web。代码语言方面：全语言（覆盖数十种主流语言）。国内访问可能需要网络条件，具体可用性以官网为准。
Semgrep 开源吗？可以自己部署吗？
Semgrep 是闭源商业软件，不提供源码。支持在自己的环境里运行（本地或私有化部署），适合对代码外泄敏感的团队。
Semgrep 能接自己的 API Key 或本地模型吗？
不支持自带 API Key，模型调用由官方统一提供。同时不支持本地模型，需要联网使用官方服务。
它和 SonarQube 的区别在哪？
两者都在找代码问题，但重心不同：SonarQube 以质量与安全规则的仪表盘为主，Semgrep 更像可自己写规则的安全扫描引擎，规则语法贴近源码，适合团队按内部规范定制并嵌进 CI。
误报太多怎么办？
这是规则引擎的常见问题：先按项目实际收敛规则集、关掉不适用的检查，再用付费的 AI 分诊判断哪些是误报；人工确认过的结论要沉淀回规则，否则下次还会重复处理。
接进 CI 大概要做什么？
本地用 pipx 或容器装好引擎，或用官方镜像固定版本，然后在流水线里对增量代码跑扫描并设置阻断条件；官方平台还提供托管式扫描与回评，选哪种取决于代码能否出内网。
它和 AI 代码审查工具有什么不同？
定位不同：Semgrep 找的是可由规则描述的确定性问题（注入、密钥、危险 API），复现稳定；AI 审查更擅长风格与上下文相关建议，但结论不稳定。两者互补，不能互相替代。
继续浏览
看全部代码审查同类软件（代码审查）
全部 代码审查 →
软件的能力、定价与平台信息取自厂商公开页面并逐条核验；价格与额度随官方调整，请以各官网为准，核验时间 2026-10。
