Trivy ต่างกับ Semgrep ยังไง?

	Trivy	Semgrep
ประเภท	SCA + misconfig + secret	SAST (วิเคราะห์โค้ด)
สแกนอะไร	ช่องโหว่ในของที่เราดึงเข้ามา (เช่นพวก dependency)	โค้ดที่เราเขียนเอง
ตัวอย่าง	CVE ใน `package-lock.json`, Dockerfile/workflow ที่ตั้งค่าไม่ปลอดภัย, key หลุด	logic bug ในโค้ด เช่น XSS sink, injection, `eval` อันตราย, ใช้ API แบบเสี่ยง
ทำงานยังไง	เทียบกับฐานข้อมูล CVE/rule ที่รู้จักแล้ว	เข้าใจโครงสร้างโค้ด (AST) แล้วจับ pattern ตาม rule

พูดง่ายๆ: