SlopGrade vs Semgrep
Semgrep es un motor abierto excelente: tú (o su registro) escribes patrones y los calibras a tu código. SlopGrade hace el trade-off inverso — un rulepack curado que activas, donde la puerta solo bloquea lo que introduce el pull request (sobre 52 089 pull requests open source ordinarios, bloqueó 59, el 0,11 %), y que devuelve un pasa/bloquea determinista en vez de una lista de hallazgos que calibrar.
Semgrep te da control total: escribe cualquier regla, matchea cualquier patrón, en local o en Semgrep AppSec Platform. El costo es la propiedad — alguien escribe y mantiene el conjunto de reglas, calibra los falsos positivos, lo mantiene al día. SlopGrade elimina ese trabajo: el rulepack está curado y calibrado para ti, incluida la fuga entre inquilinos para la que la mayoría de equipos nunca escribe una regla, y la salida es un gate duro, no una cola.
SlopGrade vs Semgrep
Elige Semgrep cuando tienes el apetito de poseer y calibrar un conjunto de reglas y quieres control máximo. Elige SlopGrade cuando prefieres activar un gate calibrado — especialmente para el aislamiento entre inquilinos — y obtener un pasa/bloquea duro en vez de una lista que gestionar.
¿Puedo usar ambos?
Sí. Algunos equipos mantienen Semgrep para patrones a medida propios de la org y añaden SlopGrade como gate llave en mano y calibrado, para las clases universales de alta severidad — incluidas las fugas entre inquilinos — con un bloqueo duro.
¿El cliente de SlopGrade es open source?
Sí — MIT, cero dependencias npm, fija el SHA. Auditas exactamente lo que corre en tu CI, como harías con una regla de Semgrep.