技能介绍

它解决什么问题

跑完 npm audit --json 之后，终端里会刷出一大段 JSON：漏洞编号、依赖路径、受影响版本、修复建议全都混在一起。字段虽全，但可读性极差——哪个 CVE 是高危、哪条依赖链需要优先处理，得靠人肉筛。团队要做漏洞分诊（triage）、要在 Code Review 阶段卡住新增风险、要把结果接进 CI 或 GitHub Advanced Security 时，原始 JSON 完全不够用。这个技能要解决的就是「从审计 JSON 到可用安全报告」这最后一步。

核心能力与工作流程

它接收 npm audit --json 的输出作为输入，核心处理分四步：

解析审计结果：拆解 JSON 中的漏洞条目，提取漏洞编号与受影响依赖；
OSV 漏洞库补充：通过 OSV（Open Source Vulnerabilities）API 查询漏洞详情，覆盖范围超出 npm 自带审计数据的部分；
NVD 补充 CVSS 评分：调用 NVD REST API 拉取每个 CVE 的 CVSS 分数，用标准化量化指标替代「严重 / 高危 / 中危」这类模糊判断；
按严重度分组：结合 CVSS 结果把漏洞条目归组，让高危项浮到最上面。

最终产出 SARIF 格式报告。SARIF 是 GitHub Advanced Security 支持的标准格式，意味着报告可以直接对接 GitHub 的代码扫描体系，在 PR 页面、Security 面板里呈现，而不必再手工粘贴一份 PDF 或截图。

适用边界与注意点

需要访问外部 API：OSV 查询和 NVD 的 CVSS 拉取都依赖网络。完全离线的内网环境或被代理策略卡住的 CI Runner 上，这两个数据源可能拿不到结果，评分补全会失效。
NVD API 有速率限制：当漏洞数量较多时，逐个请求 NVD REST API 可能触发限流，表现为部分条目的 CVSS 字段为空或请求超时。
数据一致性依赖上游：NVD 与 OSV 中漏洞记录的更新节奏不同步，新爆发的 CVE 可能暂时查不到评分。
只覆盖 npm 生态：它处理的是 npm audit 的输出，对 pnpm、yarn、其它语言生态的锁文件审计不适用，需要配合各自的审计工具使用。

典型适用场景是：CI 流水线里跑完依赖审计后，自动生成结构化报告并推送到 GitHub Security 告警流，让安全分诊从「人肉读 JSON」变成「看分组后的评分清单」。