Semgrep
Statisches Analysewerkzeug, dessen Regeln als „Code-Patterns" statt als AST-Graphen geschrieben werden — $X.execute($SQL) erkennt SQL-Injection-Muster in Python, JS, Go und mehr.
2019 von r2c (einem Facebook-Spin-off) veröffentlicht, 2020 in Semgrep umbenannt. Open-Source-Kern plus kommerzielle Plattform (Semgrep AppSec Platform) mit tausenden vorgefertigten Regeln. Schnell — Sekunden pro Repository — und tolerant gegenüber False Positives.
Der Standard für Security-SAST in modernen CI/CD-Pipelines. Konkurrenten: SonarQube (eher Code-Smells als Security), CodeQL von GitHub (mächtiger, aber steilere Lernkurve), Snyk Code.