Semgrep ルールクリエイター

本番環境対応の Semgrep ルールを適切なテストと検証で作成します。

使用する場合

理想的なシナリオ:

• 特定のバグパターンに対する Semgrep ルールの作成
• コードベースのセキュリティ脆弱性を検出するルールの作成
• データフロー脆弱性向けのテイントモードルールの作成
• コーディング基準を強制するルールの作成

使用しない場合

以下の目的には、このスキルを使用しないでください:

• 既存の Semgrep ルールセットの実行
• カスタムルールなしの一般的な静的解析(static-analysis スキルを使用してください)

却下すべき理由づけ

Semgrep ルールを作成する際、以下の一般的なショートカットは却下してください:

• 「パターンが完全に見えます」 → 依然として semgrep --test --config <rule-id>.yaml <rule-id>.<ext> を実行して検証します。テストされていないルールには隠れた偽陽性/偽陰性があります。
• 「脆弱なケースとマッチします」 → 脆弱性のマッチングは仕事の半分です。安全なケースがマッチしないことを検証してください(偽陽性は信頼を破ります)。
• *「このタイントモードは過剰です」

...