static-analysis：把 CodeQL、Semgrep 與 SARIF 串成可複用的 SAST 工作流

Trail of Bits skills 市場中的 static-analysis 插件，將 CodeQL 深度分析、Semgrep 規則集掃描與 SARIF 解析合併爲可複用的 Agent 工作流。內含 codeql、semgrep、sarif-parsing 三個 Skill，配套 run-scans.sh、merge_sarif.py 及 /static-analysis:semgrep-scan、/static-analysis:codeql-build 工作流。文章說明安裝命令、典型調用方式、審批閘門與只讀掃描差異，以及建庫質量與 metrics 關閉等實踐約束，便於在 AI 輔助安全審計中系統化落地 SAST。