CircleCI Orb 审计器

CircleCI 的 orb 生态解决了配置复用的问题，但也把治理成本转嫁到了使用者身上。一个被锁版本的 orb 可能早已标记为 deprecated；同一份 .circleci/config.yml 里，不同 job 可能混用不同主版本的 orb；更常见的是，某个上游 orb 被披露过安全通告，而你的流水线仍在静默使用它，直到某天 CI 莫名失败或权限被收紧才被动发现。靠人工翻 registry 页面很难系统覆盖这些情况。

核心能力

• 调用 CircleCI v2 API 拉取 orb 的版本列表与元数据
• 主动标记 已弃用（deprecated） 的 orb 与版本，而不是等流水线挂了再回溯
• 输出版本固定（pinning）建议，把 circleci/orb@latest 这类浮动引用收敛成可审计的精确版本
• 查询 orb 注册表的安全通告，把已知风险接入同一条审计流程

工作方式

1. 解析 .circleci/config.yml 的 orbs 段，枚举引用的 orb 与版本约束
2. 逐个调用 v2 API 获取版本列表与生命周期状态
3. 对照 registry 通告，汇总需要处理的项

适用边界与注意点

• 只读审计，不做自动升级：结论需要人工确认后才能落到 config.yml
• 依赖 v2 API 的可用性与权限范围；私有 orb 或自建 registry 的通告覆盖以实际查询结果为准
• 通告匹配偏精确度优先，未公开编号的问题可能漏报，建议与内部安全扫描交叉核对
• 版本固定建议需配合兼容性测试验证，不要直接把整条流水线锁死到某个补丁版本