Semgrep
Outil d'analyse statique dont les règles s'écrivent sous forme de « motifs de code » plutôt que de graphes syntaxiques — $X.execute($SQL) repère les injections SQL en Python, JS, Go et d'autres.
Créé par r2c (essaimé de Facebook) en 2019 et rebaptisé Semgrep en 2020. Un cœur open source plus une plateforme commerciale (Semgrep AppSec Platform) livrée avec des milliers de règles prêtes à l'emploi. Rapide (quelques secondes par dépôt) et tolérant aux faux positifs.
C'est l'outil de SAST par défaut dans les CI/CD modernes. Concurrents : SonarQube (plus « code smell » que sécurité), CodeQL (GitHub, plus puissant mais plus ardu), Snyk Code.