OSV-Scanner 依赖漏洞检测

为什么需要它

项目依赖数量一多，靠人肉核对 CVE 编号几乎不现实。锁文件里的间接依赖往往是漏洞藏身的地方——一个被广泛使用的底层包出了问题，你的项目可能在毫不知情的情况下引入了可利用的缺陷。等到安全通告爆出来再翻 go.sum、package-lock.json 或 Cargo.lock，通常已经晚了。

这个技能把 Google 开源的 OSV-Scanner 接入到工程流程里，用 OSV.dev 的漏洞数据库对照项目依赖做批量检测，免去自己维护漏洞数据源的麻烦。

它做什么

• 识别依赖清单：解析项目锁定的依赖文件与声明文件，收集完整的依赖树，包括传递依赖
• 匹配漏洞数据：将依赖坐标（包名、版本范围）与 OSV.dev 数据库中已公开的漏洞记录进行比对
• 跨生态支持：覆盖 11+ 种语言生态，包括 Go、Python、npm、Rust、Java、Ruby 等，一个技能可应对多技术栈的仓库
• 修复指引：对发现的漏洞给出经过整理的修复建议，帮助团队判断该升级到哪个版本、或是否有替代方案

典型工作流是：扫描本地依赖文件 → 查询 OSV 数据库 → 输出命中的漏洞列表与受影响版本 → 附修复建议。

适用边界

这个技能只做依赖层面的静态比对，它不会：

• 检测运行时的动态风险或业务逻辑本身的安全问题
• 替代针对代码的 SAST / DAST 等深度检测手段
• 判断漏洞在实际项目调用链中是否真的可达

另外，SKILL.md 明确指出该技能未提供自动化提取到的安装与使用说明，在接入敏感的 CI/CD 流水线前，建议先阅读上游项目（github.com/1991513ccie-png/skills）的仓库，验证扫描行为与输出格式是否符合预期。