NPM 包审计分析器

解决什么问题

当一个项目依赖几十个甚至上百个 npm 包时，安全公告很难靠人工跟踪。一个旧版本的间接依赖可能数月前就被披露了 RCE 或凭据泄露漏洞，而 npm audit 的原始输出往往只是一张长列表：漏洞编号、影响范围、严重级别混杂在一起，维护者很难判断哪个该先修、修复方式是升级还是替换。这个技能的目标是把审计结果从「一份原始报告」变成「一张可执行的修复清单」。

核心能力与工作流程

技能围绕三条数据来源展开：

• npm audit：读取锁文件元数据，将本地依赖树与漏洞数据库做匹配，输出初步的漏洞条目。
• npm Registry API：查询包元数据，确认当前安装版本、最新可用版本及依赖关系。
• GitHub Advisory Database GraphQL API：拉取公告详情，包括 CVE 编号、CVSS 评分、受影响版本范围与修复版本。

在此基础上生成按优先级排序的报告，关键步骤包括：

1. 汇总漏洞条目，去重并合并来自不同来源的同一条公告。
2. 依据 CVSS 分数与公告标注的严重级别排序，区分「必须先修」与「持续观察」。
3. 为每个漏洞给出升级路径建议——目标版本号、是否存在 breaking change、是否需要调整直接依赖。

适用边界与注意点

• 技能依赖 Node.js 与 npm 环境，建议使用最新稳定版，否则 npm audit 依赖的公告数据库可能滞后。
• npm audit 基于锁文件分析，锁文件缺失或与 package.json 不一致时结果不可靠，需要先保证依赖树可复现。
• 私有仓库与 Docker 镜像内安装的包不在 Registry API 覆盖范围内，需要额外的 registry 认证配置，否则相关公告无法匹配。
• 公告数据库以公开披露为准，未公开的 0-day 漏洞不会出现在报告中，审计结果是「已知公开漏洞」的快照。