Snyk 依赖审计

依赖清单里的漏洞不会自己消失

package.json、锁文件以及其它包清单通常会在几周内引入带已知 CVE 的版本。安全团队很难每天复查，研发在本地跑完整审计也不现实。等到外部扫描或事故反馈时，问题已经被带入构建、镜像或生产环境。

这个技能做了什么

• 通过 Snyk CLI 与 REST API v1 扫描包清单，定位已被公开记录的 CVE。
• 将命中结果与 GitHub Advisory Database 交叉核对，避免只依赖单一数据源。
• 在结论中生成 CycloneDX 格式的 SBOM，便于交接、存档或接入后续处置流程。
• 适合嵌入 CI 前检查、PR review，以及本地合并前的快速确认。

适用边界与注意点

• 上游要求本机已安装并完成认证；认证状态和组织权限会影响扫描范围与可见性。
• 结论依赖包清单、锁文件与 advisory 数据是否完整、及时。
• 不要把它当成 SIEM 或运行时监控；它主要覆盖依赖层面的已知 CVE 审计。