sarif-parsing
作者 trailofbitssarif-parsing 是一个扫描后的技能，用于读取、筛选、去重、汇总并转换来自 CodeQL、Semgrep 等工具的 SARIF 2.1.0 结果。适合你已经拿到扫描输出，并需要清晰的解析、聚合或面向 CI/CD 的转换时使用。它不用于执行扫描。
该技能得分 83/100，属于一条扎实的目录收录，适合需要解析、筛选、去重和转换 SARIF 输出的用户。仓库提供了足够的操作细节、触发提示和可复用辅助工具，能让 agent 比起通用提示少很多猜测；但在安装和边缘场景处理上，仍会有一些缺口。
- 明确的触发语覆盖了常见 SARIF 任务，如解析、去重、筛选、聚合以及 CI/CD 集成。
- 通过可直接使用的 jq 查询和可复用的 Python 辅助模块提供了较强的操作支持，可用于加载、验证、规范化路径并组织发现结果。
- 清晰的范围边界说明了何时不该使用它，有助于避免把 SARIF 处理与扫描或规则编写混为一谈。
- SKILL.md 中没有提供安装命令或配置说明，因此接入时可能需要手动摸索如何集成。
- 该仓库看起来更偏向解析工作流，而不是完整端到端分析；如果需要执行扫描或编写规则，仍然要配合其他技能使用。
sarif-parsing 技能概览
sarif-parsing 是一项实用技能，用于读取、筛选和转换来自 CodeQL、Semgrep 以及其他静态分析器的 SARIF 2.1.0 扫描输出。当你的问题是“我已经有扫描结果了，现在需要理解、去重、总结或转换它们”，而不是“运行扫描”时，就该用 sarif-parsing 技能。
这项技能适合做什么
这项技能主要解决扫描完成后最常卡住落地的环节：从噪声很重的结果里提取有效信号、对比不同运行结果、规范化文件路径，以及把发现项整理成适合 CI/CD 或下游工具处理的格式。对于需要在多个扫描器或多个仓库之间保持一致 SARIF 处理方式的团队来说，它尤其有用。
它在你的工作流中处于什么位置
sarif-parsing 是一个扫描后的工作流技能。如果你需要生成 SARIF，应该先用对应扫描器的专用技能；如果你需要解释、聚合或重塑 SARIF，这一层才是正确的位置。这个边界很重要，因为它能避免把扫描配置和结果处理混在一起。
主要差异点
当你需要的是可重复的结果处理，而不是临时靠提示词理解结果时，这项技能最有优势。它包含具体的 SARIF 结构指引、可直接复用的查询模式，以及常见解析任务的辅助工具，这让 sarif-parsing 比泛泛的“分析这个 JSON”提示更可操作。
如何使用 sarif-parsing 技能
sarif-parsing 的安装与激活
按常规目录工作流安装该技能：
npx skills add trailofbits/skills --skill sarif-parsing
然后在你的提示词明确说明输入是 SARIF，并且期望输出是筛选、聚合、去重或转换这类解析任务时调用它。sarif-parsing 的安装方式在你把 SARIF 产物的文件路径明确写出来时效果最好，例如 results.sarif 或某个 CI artifact URL。
给技能提供正确的输入
良好的 sarif-parsing 使用方式，始于三个信息：SARIF 文件、工具来源，以及你希望基于这些数据做出的判断。弱一点的请求会说“分析这个 SARIF”；更强的请求会说“对 results.sarif 里的发现项去重，按 ruleId 分组，只返回带文件名和行号的唯一错误级问题”。你对转换目标描述得越具体，技能需要自行推断的内容就越少。
先看这些文件
如果是用于 Code Editing 或自动化工作的实用型 sarif-parsing，先预览 SKILL.md，然后看 resources/jq-queries.md 获取可直接复制的查询模式，再看 resources/sarif_helpers.py 了解路径规范化和发现项提取逻辑。这些文件比随便扫一遍仓库更能体现预期工作流，也能帮助你把提示词和现有工具对齐。
有效的提示词模式
提示词里要同时写清操作、目标字段和输出形态。比如：
- “解析这个 SARIF，列出唯一的
ruleId值及其计数。” - “筛选 warning 和 error，按文件路径分组。”
- “把 SARIF 发现项转换成适合 CSV 的表格，包含工具名、规则、文件和行号。”
- “比较两个 SARIF 文件，找出两次运行之间消失的发现项。”
sarif-parsing 技能 FAQ
sarif-parsing 只适用于安全扫描器吗？
不是。它适用于所有 SARIF 生产者，包括 CodeQL、Semgrep，以及其他输出标准 SARIF 的工具。只是当输出需要后处理，而不是直接人工查看时，这项技能的价值最大。
什么时候不该用 sarif-parsing？
如果你需要运行扫描、编写规则，或者直接检查源代码，就不要用 sarif-parsing。它也不适合你手头还没有 SARIF 输入的情况，因为这项技能默认已经存在一个结果文件。
它比通用提示词更好吗？
通常是的，因为 sarif-parsing 编码的是 SARIF 的结构和常见操作，而不是把它当作任意 JSON 处理。这让它在去重、按严重级别筛选、提取位置等任务上更稳，而通用提示词往往会漏字段或输出形状不一致。
sarif-parsing 适合初学者吗？
适合，只要用户能确定 SARIF 文件和目标。初学者通常把请求拆成一次只做一个转换时效果最好，比如“按数量给我列出前 10 个规则”或“提取 src/ 里的所有发现项”。请求越具体，这项技能就越容易上手。
如何改进 sarif-parsing 技能
把转换目标说得更精确
提升 sarif-parsing 结果最快的方法，是把具体操作和输出格式说清楚。不要只问“总结一下”，而要说“按 ruleId 分组，按严重级别计数，并返回一个 markdown 表格”。不要只说“筛选发现项”，而要明确你要应用的规则 ID、级别和路径规则。
提供足够的 SARIF 上下文
如果你补充扫描器名称、已知的 SARIF 版本，以及路径是仓库相对路径、绝对路径还是经过 URI 编码，结果通常会更好。这些上下文能帮助技能避免在规范化、去重和文件匹配上做出错误假设，而这些正是 SARIF 解析里最常见的失误点。
从原始发现项迭代到决策
一个好的 sarif-parsing 指导式工作流是：先提取并规范化发现项，再做聚合，最后决定哪些忽略、哪些升级处理。如果第一轮输出噪声太大，就先按 level、ruleId、目录或工具运行范围收窄，再要求生成最终报告。这样得到的信号比试图一次性完成分诊更清晰。
注意常见的 SARIF 陷阱
最常见的坑包括：缺失位置、一个文件里有多个 run、不同工具之间的结果重复，以及在匹配前需要规范化的文件 URI。如果你的输出看起来不完整，就要求技能把所有 runs 都考虑进去，并在规范化字段的同时保留原始字段。