Snyk 漏洞扫描助手

解决什么问题

项目依赖爆炸后，安全同学常拿不到一份能直接指导修复的清单：漏洞来自哪个 lockfile 行？是 CVE 还是许可证风险？有没有 CVSS 分数和升级路径？这个技能用于在工程侧做依赖安全巡检，把 Snyk REST API v1 与 Snyk Test 的输出整理成可阅读、可分派的漏洞报告，而不是只丢回原始 API 响应。

工作机制

• 输入：项目依赖清单、lockfile 或已有 sbom；依赖信息越完整，扫描结果越稳定。
• 扫描：调用 Snyk 的 REST API v1，对依赖项做已知 CVE 匹配，并检查许可证合规问题。
• SBOM 分析：接入 Snyk Test 端点，按 SBOM 或实时依赖分析结果返回漏洞命中项。
• 输出：生成带 CVSS 评分的报告，并附带修复路径，例如升级版本、调整约束、替换传递依赖或确认许可证例外。
• 使用场景：本地排查、CI 前置检查、发版前回归、以及把扫描结果转成 issue 或工单。

适用边界与注意点

• 该技能面向依赖漏洞与许可证合规，不替代密钥扫描、SAST、IaC 扫描、容器镜像扫描或运行时检测。
• 需要本机已安装 Snyk CLI 并完成认证；账号权限、组织策略和规则集会影响可见问题与修复建议。
• 若缺少 lockfile 或 SBOM，结果可能只覆盖当前解析出的依赖，无法稳定复现历史构建。
• 修复路径应被视为起点，升级前仍需验证兼容性、许可冲突和供应链信任。
• 报告中的分数与优先级来自 Snyk 数据模型，团队应结合自身风险容忍度做最终裁决。