# Opengrep - 开源代码安全引擎 ## 什么是 Opengrep？ Opengrep 是 Semgrep CE（社区版）的一个分支，由包括 JIT、Aikido Security、Endor Labs 和其他公司在内的联盟于 2025 年初推出。它是为了响应 Semgrep 的许可变更而创建的，该变更限制了社区贡献的规则在商业产品中的使用。 **与 Semgrep 的主要区别：** * 完全开源规则（无许可证限制） * 社区驱动的治理 * 无专有功能锁定 * 兼容Semgrep CE语法和规则 * 专注于保持关键功能开放 * 商业整合友好 ## 何时使用 Opengrep **理想场景：** * 快速安全扫描（几分钟，而不是几小时） * 基于模式的漏洞检测 * 使用社区规则而无需担心许可问题 * 需要开源SAST的商业产品集成 * 文件内的数据流和污点分析 * 多语言安全扫描 * 在使用更深入的工具之前先进行安全分析 * 当 Semgrep 许可是一个问题时 **在以下情况下考虑使用 CodeQL：** * 需要跨文件的过程间污点跟踪 * 需要跨模块进行复杂的数据流分析 * 通过深度集成分析自定义专有框架 ## 何时不使用请勿将此技能用于： * 复杂的跨文件数据流分析（使用CodeQL） * 无需源码的二进制或编译代码分析 * 深度语义分析需要完整的程序分析 * 运行时漏洞检测 * 秘密扫描（使用Gitleaks） * 依赖关系扫描（使用OSV-Scanner或Depscan） ## 安装 # 自制软件酿造安装opengrep # 点 pip 安装 opengrep # pipx（推荐） pipx 安装 opengrep # 码头工人 docker pull ghcr.io/opengrep/opengrep:最新 # 来自源码 git 克隆 https://github.com/opengrep/opengrep.git cd opengrep pip install -e 。 # 验证 opengrep --版本 ## 核心工作流程 ### 1\.快速扫描 # 使用默认规则自动扫描 opengrep 扫描。 # 使用特定规则集进行扫描 opengrep scan -f p/security-audit 。 # 多个规则集 opengrep scan -f p/owasp-top-ten -f p/cwe-top-25 。 ### 2\. SARIF 输出 # 生成 SARIF 报告 opengrep 扫描 --sarif -o results.sarif 。 # 具有特定规则的 SARIF opengrep scan -f p/security-audit --sarif -o results.sarif 。 # 按 SARIF 中的严重性过滤 opengrep 扫描 \ --严重性=警告\ --严重性=错误\ --萨里夫\ -o 结果.sarif \ 。 ### 3\.高级扫描 # 启用数据流跟踪 opengrep 扫描 --dataflow-traces 。 # 污点分析（文件内） opengrep 扫描 --taint-intrafile 。 # 实验特性 opengrep 扫描——实验。 # 组合：数据流+污点+实验 opengrep 扫描 \ --数据流跟踪 \ --taint-intrafile \ --实验\ 。 ### 4\.自定义规则 # 本地规则文件 opengrep scan -f /path/to/rules 。 # 多个规则目录 opengrep scan -f ./rules -f ./custom-rules 。 # 排除特定规则 opengrep 扫描 \ -f p/安全审计 \ --exclude-rule=“要跳过的规则 ID”\ 。 ## 规则集 ### 公共规则集规则集|描述 ---|--- `p/默认` |一般安全性和代码质量 `p/安全审计` |全面的安全规则 `p/owasp-前十名` | OWASP 十大漏洞 `p/cwe-top-25` | CWE 前 25 个漏洞 `p/trailofbits` |比特踪迹安全规则 `p/python` | Python 特定的安全性 `p/javascript` | JavaScript/TypeScript 安全性 `p/golang` | Go 特定的安全性 `p/java` | Java 安全模式 `p/红宝石` | Ruby 安全模式 ### 社区规则 # 克隆社区规则 git 克隆 https://github.com/opengrep/opengrep-rules.git # 使用社区规则 opengrep 扫描 -f opengrep-rules/ 。 # Trail of Bits 规则（完全开放） git 克隆 https://github.com/trailofbits/semgrep-rules.git opengrep scan -f semgrep-rules/rules 。 ## 输出格式 # 文本输出（默认） opengrep 扫描。 # SARIF（用于 CI/CD） opengrep 扫描 --sarif 。 # JSON opengrep 扫描 --json 。 # JUnit XML opengrep 扫描 --junit-xml 。 # GitLab SAST 格式 opengrep 扫描 --gitlab-sast 。 # Vim 快速修复 opengrep 扫描 --vim 。 # Emacs 格式 opengrep 扫描 --emacs 。 ## 配置 ### .opengrepignore 创建`.opengrepignore`：测试/夹具/ **/测试数据/ 生成/ 供应商/ 节点模块/ __pycache__/ *.test.js *.spec.ts ### 项目配置创建`.opengrep.yml`：规则： - id：自定义硬编码秘密语言：[python、javascript] 消息：“检测到硬编码秘密” 严重性：错误图案：| $VAR =“$秘密” 元数据： CWE：“CWE-798” owasp：“A07：2021 - 识别和身份验证失败” - id：sql注入风险语言：[Python] 消息：“潜在的 SQL 注入” 严重性：错误模式：污点模式来源： - 模式：request.args.get(...) 图案水槽： - 模式：cursor.execute($QUERY) 模式消毒剂： - 模式：int(...) 排除： - 测试/ - 供应商/ 使用配置： opengrep 扫描 --config .opengrep.yml 。 ## CI/CD 集成（GitHub 操作）名称：Opengrep 安全扫描于：推：分支：[主要] 拉请求：时间表： - cron: '0 0 * * 1' # 每周职位：打开grep：运行：ubuntu-latest 步骤： - 使用：actions/checkout@v4 - 名称：安装Python 使用：actions/setup-python@v5 与： python-版本：'3.11' - 名称：安装 Opengrep 运行：pip install opengrep - 名称：运行 Opengrep 运行：| opengrep 扫描 \ -f p/安全审计 \ -f p/owasp-前十 \ --数据流跟踪 \ --taint-intrafile \ --实验\ --萨里夫\ -o opengrep-结果.sarif \ --严重性=警告\ --严重性=错误\ --排除=测试\ --排除=测试\ 。 - 名称：上传 SARIF 如果：总是（）使用：github/codeql-action/upload-sarif@v3 与： sarif_file：opengrep-results.sarif 类别：opengrep - 名称：上传结果如果：总是（）使用：actions/upload-artifact@v4 与：名称：opengrep 结果路径：opengrep-results.sarif ## 编写自定义规则 ### 基本规则结构规则： - id：危险评估语言：[javascript、python] 消息：“使用 eval() 是危险的” 严重性：错误图案： - 模式：eval($CODE) -pattern-not: eval("...") # 文字字符串可以 ### 模式语法语法 |描述 |示例 ---|---|--- `...` |匹配任何东西 | `函数(...)` `$VAR` |捕获元变量 | `$FUNC($INPUT)` `<... ...>` |深度表达匹配| `<...用户输入...>` ### 模式运算符操作员|描述 ---|--- `模式` |匹配精确的模式 `模式` |全部必须匹配 (AND) `模式-任一` |任意匹配（或） `模式非` |排除匹配项 `模式内部` |仅在上下文内匹配 `模式不在内部` |仅匹配外部上下文 `模式正则表达式` |正则表达式匹配 `元变量正则表达式` |捕获值的正则表达式 ### 污点模式规则： - id：xss-漏洞语言：[javascript] message:“用户输入流向innerHTML（XSS风险）” 严重性：错误模式：污点模式来源： - 模式：req.query.$PARAM - 模式：req.body.$PARAM 图案水槽： - 模式：$ELEMENT.innerHTML = $DATA 模式消毒剂： - 模式：escapeHtml(...) - 模式：DOMPurify.sanitize(...) ## 常见用例 ### 1\.全面的安全审计 # 多规则集扫描 opengrep 扫描 \ -f p/安全审计 \ -f p/owasp-前十 \ -f p/cwe-top-25 \ --数据流跟踪 \ --实验\ --萨里夫\ -o 安全审计.sarif \ 。 ### 2\.特定语言扫描 # Python 安全性 opengrep 扫描 \ -f p/python \ --taint-intrafile \ --萨里夫\ -o python-security.sarif \ ./src # JavaScript/TypeScript 安全性 opengrep 扫描 \ -f p/javascript \ -f p/打字稿\ --数据流跟踪 \ --萨里夫\ -o js-security.sarif \ ./前端 ### 3\.预提交挂钩 # 仅扫描暂存文件 git diff --cached --name-only --diff-filter=ACMR | git diff --cached --name-only --diff-filter=ACMR | \ grep -E '\.(py|js|ts|go|java|rb)$' | \ xargs opengrep scan -f p/security-audit ### 5\.差异扫描（仅更改的文件） # 只扫描修改过的文件 git diff --仅名称 origin/main...HEAD | \ xargs opengrep scan -f p/security-audit --sarif -o diff-scan.sarif ## 抑制误报 ### 内联抑制 # nosmgrep: 规则 ID 密码 = get_from_vault() # 多个规则 eval(safe_code) # nosmgrep: 危险评估，代码注入 // nosmgrep: xss 漏洞 element.innerHTML = sanitizedContent; ### 基于配置的抑制 # .opengrep.yml 排除规则： - 规则 ID-1 - 规则 ID-2 排除路径： - 测试/ - 生成/ ## 性能优化 # 限制特定文件类型 opengrep 扫描 --include='*.py' --include='*.js' 。 # 排除大目录 opengrep 扫描 --exclude=node_modules --exclude=vendor 。 # 设置每个文件的超时时间 opengrep 扫描 --超时 60 。 # 禁用实验性功能以提高速度 opengrep scan -f p/security-audit 。 # 否——实验性的 ## 与 Semgrep 比较 ### 兼容性 Opengrep 保持与 Semgrep CE 的兼容性： * 相同的规则语法 (YAML) * 相同的模式语言 * 相同的命令行界面 * 可以直接使用Semgrep规则 ### 主要差异特色 | Opengrep | SEMGREP CE ---|---|--- **许可证** | LGPL 2.1（完全开放） | LGPL 2.1（引擎），限制性规则 **规则** |全面开放，无任何限制|社区规则有使用限制 **治理** |社区财团| r2c/Semgrep 公司 **商业用途** |无限制|受社区规则限制 **专业功能** |正在迁移开放|专有 **发展** |社区驱动 |公司驱动 ### 从 Semgrep 迁移 # 规则兼容 - 只需更改二进制即可 alias opengrep=semgrep # 用于测试 opengrep scan -f p/security-audit 。 # 更新 CI/CD 配置 sed -i 's/semgrep/opengrep/g' .github/workflows/security.yml ## 支持的语言 * **Web** ：JavaScript、TypeScript、JSX、TSX * **后端**：Python、Go、Java、Kotlin、Scala * **系统**：C、C++、Rust * **移动**：Swift、Kotlin、Java * **脚本**：Ruby、PHP、Bash、Lua * **基础设施**：Terraform、Dockerfile、YAML、JSON * **其他**：C#、Elixir、Solidity、Apex ## 限制 * **仅文件内污点**：跨文件数据流需要 CodeQL * **基于模式** ：无法理解复杂的程序语义 * **无运行时分析**：仅静态分析 * **性能**：启用所有功能后，大型代码库可能会很慢 * **实验性功能**：可能有错误或覆盖不完整 ## 拒绝的理由快捷方式|为什么这是错误的 ---|--- “Opengrep 没有发现任何内容 = 代码是安全的”|基于模式的分析可能会漏掉特定于上下文的漏洞 “仅使用默认规则”|默认规则是通用的；堆栈的自定义规则至关重要 “跳过数据流/污点分析以提高速度”|这些功能可以捕获简单模式遗漏的漏洞 “Semgrep 和 Opengrep 是相同的”|许可差异对于商业用途很重要；功能集不同 “不需要 Opengrep 和 CodeQL” |互补：Opengrep 快速/广泛，CodeQL 深入/精确 ## 参考文献 * 存储库： * 网站： * 规则存储库： * 文档： * 位规则的踪迹： * 与 Semgrep 的比较： * 发布公告： **文章：** * [Opengrep 与 Semgrep：一些想法]() * [启动 Opengrep |为什么我们分叉 Semgrep]() * [Semgrep 许可证转移后 Opengrep 作为免费分支启动]()

公开攻击

包含技能