Agent Skills
返回列表
🔒

包漏洞扫描器

IT 运维与安全 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据官方安装指南 https://skillhub.cn/install/skillhub.md，将技能 @user_3c6cb52e/package-vuln-scanner-osv-api 安装到 AI 助手中。

技能介绍

要解决什么问题

当 npm、PyPI、Go module 里的第三方依赖被爆出漏洞时，团队常常是事后被动响应。手动在安全公告里逐条比对版本号，工作量大且容易遗漏；持续维护一份更新中的漏洞清单，对多数项目来说并不现实。这个技能要解决的，就是把依赖漏洞排查变成一次自动化查询。

核心能力与工作流程

  • 生态覆盖：同时支持 npm、PyPI、Go modules 三类主流包管理场景。
  • 漏洞数据源：查询 OSV.dev API，并对照 GitHub Advisory Database，两者都提供公开的漏洞记录与受影响版本范围。
  • 输出格式：结果以 CycloneDX 格式的 SBOM 报告产出，方便接入现有的供应链安全流程。

典型步骤大致是：从 package-lock.json、go.mod 等清单中提取依赖与版本；向 OSV.dev 批量查询匹配的漏洞；结合 GitHub Advisory Database 的信息做交叉核对；最后汇总生成 CycloneDX SBOM。

适用边界与注意点

  • 只识别已知漏洞，对源码投毒、typosquatting 这类未知威胁无能为力。
  • 覆盖及时性依赖数据源更新速度，刚披露的漏洞可能有延迟。
  • SKILL.md 中未能自动提取安装与使用说明，上游来源为 GitHub 个人仓库。在 CI 或生产环境等敏感流程中接入前，建议先审查上游实现，确认调用行为符合预期。
  • 数据源文档见 https://osv.dev/docs/。

使用场景

  • 在 CI/CD 流水线里做变更检查：合并代码或发布前，扫描 npm、PyPI、Go 依赖漏洞并输出报告。
  • 收到安全公告后定位受影响项目：快速确认哪些包和版本命中 OSV/GitHub 漏洞，并汇总影响范围。
  • 上线前安全审计：为 npm、Python、Go 服务生成 CycloneDX SBOM 与已知漏洞清单，供审核留档。
  • 依赖升级前回归风险评估：在升级 npm、PyPI、Go 依赖前扫描已知漏洞和受影响版本范围。

适合人员

  • 负责 CI/CD 的 DevOps 工程师，需要在合并或发布前自动检查依赖漏洞并拦截风险。
  • 维护多语言服务的应用开发者，想在升级 npm、PyPI、Go 依赖前确认已知漏洞影响。
  • 负责合规与安全审计的工程师，需要为交付物生成 CycloneDX SBOM 和漏洞证据。
  • 开源项目维护者，需要在漏洞披露后快速评估受影响版本并回应用户。