Agent Skills
返回列表
🔒

OWASP dep-scan 依赖与容器输入扫描

IT 运维与安全 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/scan-agent-dependencies-and-container-inputs-with-owasp-dep-scan

技能介绍

为什么需要在采用前扫描

当你准备引入新的依赖包、容器镜像或生成的代码时，很难快速判断它们会带来哪些安全与合规风险。依赖树里可能藏着已知漏洞，许可证条款可能限制商用或再分发，容器镜像层可能包含不必要的工具和敏感输入，而生成代码的行为也可能与预期不一致。等到上线后才发现，修复成本通常更高。

这个技能如何工作

该技能将 OWASP dep-scan 包装为可重复执行的前置检查流程。它会在采用依赖、容器或生成代码之前运行扫描，并生成包含以下信息的报告：

  • 漏洞发现：识别依赖和源码中已公开的安全问题，便于在集成前评估修复优先级。
  • 许可证与组件清单：输出许可证信息与 SBOM，帮助你审查合规边界和组件来源。
  • 容器输入分析：支持对容器镜像进行本地扫描，检查镜像层中包含的输入与潜在风险。
  • 风险报告：将漏洞、许可证和 SBOM 汇总为可审查的结果，方便在 CI 或本地环境中留存记录。

适用边界与注意点

  • 扫描结果依赖上游漏洞数据库与工具规则，不能替代完整的安全审计。
  • 容器镜像扫描需要本地 Docker 环境，且应确保镜像来源可信。
  • 生成代码的风险与具体上下文相关，SBOM 和漏洞报告只能提供辅助判断。

文档

https://depscan.readthedocs.io

使用场景

  • 在引入 Java 依赖前运行扫描，核对漏洞、许可证并生成 SBOM。
  • 拉取容器镜像前本地扫描，检查镜像层中包含的输入与风险。
  • 在 CI 中对生成代码运行 dep-scan，生成可审查的风险报告。
  • 对 JavaScript 项目做采用前扫描，输出漏洞与许可证清单。

适合人员

  • 后端工程师：想在引入依赖前确认漏洞、许可证和 SBOM。
  • DevOps/SRE：需要把镜像与生成代码扫描接入 CI 门禁。
  • 法务/合规负责人：想依据 SBOM 和许可证清单审核组件。