Sublime Text 本身不内置 SAST 能力，但可通过 SonarLint 插件（社区维护版）实现轻量级代码安全扫描，支持主流语言及常见漏洞检测；也可通过 Snyk CLI 配合自定义构建系统实现扫描，但需手动配置且功能较弱；其 SAST 属辅助提示，无法替代 IDE 级深度分析。
Sublime Text 本身不内置静态应用安全测试（SAST）能力，但可通过集成第三方插件（如 SonarLint 或 Snyk CLI 配合自定义构建系统）实现轻量级代码安全扫描。注意：Snyk 官方暂未提供 Sublime 原生插件，而 SonarLint 有社区维护的 Sublime 版本（SonarLint for Sublime Text），是更可行的选择。
安装 SonarLint 插件
使用 Package Control 安装最稳定：
- 按 Ctrl+Shift+P（Windows/Linux）或 Cmd+Shift+P（macOS），输入 Install Package，回车
- 搜索 SonarLint，选择并安装
- 重启 Sublime 后，插件会自动监听当前打开的文件（支持 Java、JavaScript、TypeScript、Python、C# 等主流语言）
配置 SonarLint 规则与连接远程服务器（可选）
默认使用本地嵌入式分析引擎，覆盖常见漏洞（如 SQL 注入、硬编码密钥、XSS 风险等）。如需同步 SonarQube/SonarCloud 规则：
- 进入 Preferences → Package Settings → SonarLint → Settings
- 修改
"server_url"、"login"（Token）、"project_key"等字段（需提前在 SonarCloud 创建项目并获取 Token） - 保存后，插件会在状态栏显示连接状态，问题将实时对标团队规则集
替代方案：用 Snyk CLI + Sublime 构建系统
若坚持用 Snyk（例如已有 Snyk 账户或依赖其开源漏洞库）：
- 先安装 Snyk CLI 并完成
snyk auth - 在 Sublime 中新建构建系统：Tools → Build System → New Build System
- 粘贴以下内容（以 Node.js 项目为例）：
{
"cmd": ["snyk", "test", "--json"],
"selector": "source.js",
"file_regex": "^.*?\\((\\d+),(\\d+)\\):\\s+(.*)$",
"quiet": true,
"variants": [
{
"name": "Snyk Monitor",
"cmd": ["snyk", "monitor"]
}
]
}
保存为 Snyk.sublime-build，然后按 Ctrl+B 即可运行扫描，结果在底部面板输出 JSON（建议配合 JSON Reindent 插件查看）。
注意事项与局限性
Sublime 的 SAST 能力属于“辅助提示”，不能替代 IDE 级深度分析：
- 无跨文件数据流追踪（如函数调用链中的污点传播）
- 不支持自动修复建议（SonarLint 仅高亮+描述，不提供 quick-fix）
- 部分规则需项目根目录存在
snyk.json或sonar-project.properties才能精准识别上下文 - 建议将 Sublime 扫描作为开发初期快速筛查手段，CI/CD 阶段仍需接入 SonarQube 或 Snyk Code 正式管道
基本上就这些。轻量、即时、不重，适合习惯 Sublime 的开发者补上基础安全感知——不复杂但容易忽略。
