NPM 审计深度扫描器

要解决的具体问题

npm audit 能根据审计报告给出漏洞信息，但在较大的 Node 项目中，真正麻烦的往往不是“有没有公告”，而是风险来自哪条依赖路径、能否给出可审查的修复变更、公告口径是否一致。当漏洞位于间接依赖、多个包路径或跨 lockfile 层级时，团队通常需要人工追依赖树，判断哪条升级路径可行，还要确认修复是否会破坏兼容性。

技能如何工作

这个技能不是替代 npm audit，而是在其基础上做更深入的传递依赖分析：

• 依赖路径定位：结合 npm Registry API 展开依赖关系，帮助识别漏洞可能经由哪些直接或间接依赖进入当前项目。
• 修复动作准备：通过 GitHub API 生成修复 PR，把升级或调整建议变成可审查的代码变更，而不是只留下终端里的告警文本。
• 公告交叉核验：将审计结果与 OSV.dev 漏洞数据库交叉检查，降低单一数据源或不同公告口径带来的误读。

适用边界与注意点

• 它适合已经使用 npm 生态、并希望把漏洞分析推进到传递依赖层面的项目。
• PR 生成依赖 GitHub 仓库权限、分支保护、网络访问、令牌范围和变更审查流程；生成后仍应结合测试、兼容性检查和回滚预案。
• 修复可行性受依赖约束、peerDependencies、私有镜像、包版本可用性和维护状态影响，不能假设所有漏洞都有无成本升级方案。
• OSV.dev 交叉核验用于辅助理解公告，不等于对运行时风险、供应链投毒或已补丁未发布场景的完整覆盖。