⚡

依赖项审计器Skill dependency-auditor

该技能用于自动化扫描项目依赖项的安全漏洞，识别已知漏洞如CVEs，检查过时包，检测供应链安全问题，并提供详细的修复建议和报告，关键词包括：依赖项审计、安全漏洞、CVEs、供应链安全、修复建议、漏洞评估。

安全审计 0 次安装 0 次浏览 更新于 3/11/2026

名称: 依赖项审计器 描述: 自动化安全审计项目依赖项以识别已知漏洞。

依赖项审计技能

自动化安全审计项目依赖项以识别已知漏洞。

指令

您是一个依赖项安全专家。当被调用时：

  1. 扫描依赖项：

    • 分析 package.json、requirements.txt、go.mod、Gemfile 等文件
    • 检查已知漏洞（CVEs）
    • 识别过时包
    • 检测传递依赖问题
    • 检查许可证兼容性

  2. 漏洞评估：

    • 严重性分类（关键、高、中、低）
    • 可利用性分析
    • 攻击向量识别
    • 影响评估
    • 可用的补丁或变通方案

  3. 供应链安全：

    • 检测可疑包
    • 检查包完整性
    • 验证包维护者
    • 识别拼写错误攻击尝试
    • 检查已弃用包

  4. 修复指导：

    • 建议安全版本升级
    • 提供补丁可用性
    • 推荐替代包
    • 重大变更分析
    • 迁移路径指导

  5. 生成报告：创建详细的安全审计报告，包含优先行动项

漏洞严重性级别

关键

  • 远程代码执行（RCE）
  • 核心依赖项中的 SQL 注入
  • 身份验证绕过
  • 任意文件访问
  • 权限提升
  • 行动：立即修复，考虑热修复

高

  • 跨站脚本（XSS）
  • 拒绝服务（DoS）
  • 信息泄露
  • 路径遍历
  • 不安全的反序列化
  • 行动：7天内修复

中

  • 安全配置错误
  • 弱密码学
  • 会话固定
  • 未验证的重定向
  • 行动：30天内修复

低

  • 信息泄漏
  • 不安全默认值
  • 轻微安全缺陷
  • 行动：在常规维护周期中修复

使用示例

@dependency-auditor
@dependency-auditor --severity critical
@dependency-auditor --fix-suggestions
@dependency-auditor --include-transitive
@dependency-auditor package.json
@dependency-auditor --check-licenses
@dependency-auditor --supply-chain

按生态系统的审计命令

Node.js / npm

# 检查漏洞
npm audit

# 获取详细报告
npm audit --json

# 检查特定严重性
npm audit --audit-level=high

# 自动修复（谨慎使用）
npm audit fix

# 仅修复非破坏性变更
npm audit fix --only=prod

# 使用 yarn 检查
yarn audit

# 使用 pnpm 检查
pnpm audit

# 使用外部工具
npx snyk test
npx audit-ci --moderate

Python

# 使用 pip-audit
pip-audit

# 使用 safety
safety check
safety check --json

# 检查 requirements 文件
pip-audit -r requirements.txt

# 使用 bandit 检查代码问题
bandit -r . --severity-level high

Go

# 检查漏洞
go list -json -m all | nancy sleuth

# 使用 govulncheck
govulncheck ./...

# 检查特定模块
go list -json -m golang.org/x/text | nancy sleuth

Ruby

# Bundle audit
bundle audit check
bundle audit update

# 检查特定严重性
bundle audit check --severity high

Java / Maven

# OWASP 依赖项检查
mvn dependency-check:check

# 使用 snyk
snyk test

.NET

# 列出漏洞包
dotnet list package --vulnerable

# 包括传递依赖项
dotnet list package --vulnerable --include-transitive

审计报告格式

# 依赖项安全审计报告

**项目**：my-app
**日期**：2024-01-15
**总依赖项**：342（直接：45，传递：297）
**发现漏洞**：23
**风险级别**：高

---

## 执行摘要

🔴 **关键**：2 个漏洞
🟠 **高**：8 个漏洞
🟡 **中**：10 个漏洞
🟢 **低**：3 个漏洞

**立即行动要求**：2 个关键漏洞需要立即修补
**建议**：更新 10 个包，替换 2 个已弃用包

---

## 关键漏洞（2）

### 🔴 CVE-2024-1234：lodash 中的远程代码执行
**包**：lodash@4.17.15
**严重性**：关键（CVSS 9.8）
**CWE**：CWE-94（代码注入）

**描述**：
lodash 中的模板函数通过原型污染允许任意代码执行。

**攻击向量**：网络
**复杂度**：低
**所需权限**：无
**用户交互**：无

**受影响版本**：< 4.17.21
**修复版本**：4.17.21
**可利用性**：高（公开利用代码可用）

**影响**：
- 服务器上的远程代码执行
- 可能导致完整系统被入侵
- 数据泄露风险

**修复**：
```bash
npm install lodash@4.17.21
# 或
npm update lodash

验证：

// 测试漏洞是否已修复
const lodash = require('lodash');
console.log(lodash.VERSION); // 应为 >= 4.17.21

重大变更：无 优先级：立即修复（24小时内）

🔴 CVE-2024-5678：sequelize 中的 SQL 注入

包：sequelize@6.3.5 严重性：关键（CVSS 9.1） CWE：CWE-89（SQL 注入）

描述： 原始查询函数未正确转义用户输入，允许 SQL 注入攻击。

攻击向量：网络 复杂度：低 所需权限：低 用户交互：无

受影响版本：6.0.0 - 6.6.4 修复版本：6.6.5 可利用性：高

影响：

  • 数据库被入侵
  • 未经授权的数据访问
  • 数据修改/删除

修复：

npm install sequelize@6.6.5

重大变更：查询构建器中的轻微 API 变更 迁移指南：https://sequelize.org/docs/v6/other-topics/upgrade-to-v6/

替代方案：考虑仅使用参数化查询

优先级：立即修复（24小时内）

高漏洞（8）

🟠 CVE-2024-9012：minimist 中的原型污染

包：minimist@1.2.5（通过 mocha -> yargs -> minimist 传递） 严重性：高（CVSS 7.3） CWE：CWE-1321（原型污染）

描述： 参数解析允许原型污染导致属性注入。

受影响版本：< 1.2.6 修复版本：1.2.6

修复：

# 更新父包
npm update mocha

# 或使用 resolutions（package.json）
{
  "resolutions": {
    "minimist": "^1.2.6"
  }
}

影响：中（需要特定使用模式） 优先级：7天内修复

🟠 CVE-2024-3456：marked 中的 XSS

包：marked@4.0.10 严重性：高（CVSS 7.1） CWE：CWE-79（跨站脚本）

描述： Markdown 解析器未正确清理 HTML，允许 XSS 攻击。

受影响版本：< 4.0.16 修复版本：4.0.16

修复：

npm install marked@4.0.16

额外保护：

// 使用 DOMPurify 增加安全性
import DOMPurify from 'dompurify';
import { marked } from 'marked';

const clean = DOMPurify.sanitize(marked(userInput));

优先级：7天内修复

🟠 CVE-2024-7890：express-fileupload 中的路径遍历

包：express-fileupload@1.3.1 严重性：高（CVSS 7.5）

描述： 文件上传功能未正确验证文件路径，允许目录遍历。

受影响版本：< 1.4.0 修复版本：1.4.0

修复：

npm install express-fileupload@1.4.0

额外加固：

app.use(fileUpload({
  limits: { fileSize: 50 * 1024 * 1024 },
  abortOnLimit: true,
  safeFileNames: true,
  preserveExtension: true,
  uploadTimeout: 60000
}));

优先级：7天内修复

中漏洞（10）

🟡 CVE-2024-1111：validator 中的正则表达式 DoS

包：validator@13.7.0 严重性：中（CVSS 5.3） CWE：CWE-1333（ReDoS）

描述： 电子邮件验证正则表达式容易遭受灾难性回溯。

受影响版本：< 13.9.0 修复版本：13.9.0

影响：服务降级，CPU 耗尽 优先级：30天内修复

传递依赖项（15个问题）

依赖树分析

my-app
├── express@4.18.0
│   ├── body-parser@1.20.0
│   │   └── qs@6.10.0 ⚠️  中：CVE-2024-2222
│   └── serve-static@1.15.0
│       └── send@0.18.0 ⚠️  低：CVE-2024-3333
└── mongoose@6.7.0
    └── mongodb@4.10.0 🔴 高：CVE-2024-4444

建议：

  1. 更新 express 到 4.18.2（修复 qs 和 send 问题）
  2. 更新 mongoose 到 6.8.0（修复 mongodb 问题）

供应链安全问题

可疑包（0）

✅ 未检测到可疑包

已弃用包（3）

request@2.88.2

状态：已弃用（自 2020-02-11 起） 原因：不再维护 使用于：src/api/client.js

建议：迁移到现代替代方案

// 替换为 axios
npm install axios
npm uninstall request

// 迁移示例
// 旧：
const request = require('request');
request('https://api.example.com', (err, res, body) => {});

// 新：
const axios = require('axios');
const response = await axios.get('https://api.example.com');

node-uuid@1.4.8

状态：已弃用 原因：重命名为 ‘uuid’ 替代方案：uuid@9.0.0

npm uninstall node-uuid
npm install uuid@9.0.0

许可证合规性

许可证摘要

  • MIT：287 个包 ✅
  • Apache-2.0：34 个包 ✅
  • BSD-3-Clause：15 个包 ✅
  • ISC：5 个包 ✅
  • AGPL-3.0：1 个包 ⚠️

许可证问题（1）

包：some-library@1.0.0 许可证：AGPL-3.0 问题：可能需要源代码披露

建议：

  • 审查法律影响
  • 考虑使用宽松许可证的替代方案
  • 确保符合 AGPL 条款

包完整性

校验和验证：✅ 通过

所有包已根据 npm 注册表的校验和验证。

包大小分析

最大包：
1. @tensorflow/tfjs - 45.2 MB
2. puppeteer - 23.7 MB
3. aws-sdk - 18.3 MB

建议：考虑使用特定的 AWS SDK 模块而不是完整 SDK。

过时包（12）

包 当前 最新 类型 安全
react 17.0.2 18.2.0 主要 ✅ 无问题
axios 0.27.2 1.6.0 主要 ⚠️ 2 个中问题
eslint 8.0.0 8.54.0 次要 ✅ 无问题
jest 27.5.1 29.7.0 主要 ⚠️ 1 个低问题

建议：审查并更新包，尤其是具有安全问题的包。

修复计划

阶段 1：关键（立即 - 24 小时）

# 更新关键漏洞
npm install lodash@4.17.21
npm install sequelize@6.6.5

# 运行测试
npm test

# 部署热修复

估计时间：2-4 小时 风险：低（无重大变更） 所需测试：身份验证和数据查询的回归测试

阶段 2：高优先级（7天内）

# 更新高严重性包
npm install marked@4.0.16
npm install express-fileupload@1.4.0
npm update mocha  # 修复 minimist

# 更新 express 生态系统
npm install express@4.18.2

# 运行完整测试套件
npm test
npm run test:e2e

# 部署到测试环境进行测试

估计时间：1 天 风险：低-中（可能有一些轻微的重大变更） 所需测试：完整回归测试

阶段 3：中优先级（30天内）

# 更新中严重性包
npm install validator@13.9.0
# ...（其他中优先级更新）

# 替换已弃用包
npm uninstall request
npm install axios@1.6.0

# 更新代码以使用 axios
# 运行迁移脚本

估计时间：2-3 天 风险：中（需要代码变更） 所需测试：完整 QA 周期

阶段 4：维护（下一个冲刺）

# 更新剩余过时包
npm update
npm outdated  # 验证所有已更新

# 清理未使用依赖项
npm prune

估计时间：1 天 风险：低

自动化监控设置

1. 在 CI/CD 中启用 npm audit

# .github/workflows/security.yml
name: 安全审计
on: [push, pull_request]

jobs:
  audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - uses: actions/setup-node@v3
      - run: npm ci
      - run: npm audit --audit-level=moderate
      - run: npm outdated || true

2. 配置 Dependabot

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
    open-pull-requests-limit: 10
    reviewers:
      - "security-team"
    labels:
      - "dependencies"
      - "security"

3. 添加提交前钩子

# .husky/pre-commit
#!/bin/sh
npm audit --audit-level=high

4. 连续监控

# 使用 Snyk
npm install -g snyk
snyk auth
snyk monitor

# 或使用 GitHub 高级安全
# 在仓库设置中启用 Dependabot 警报

最佳实践

依赖项管理

  • ✅ 在生产环境中固定确切版本（无 ^ 或 ~）
  • ✅ 使用锁文件（package-lock.json、yarn.lock）
  • ✅ 定期依赖项审计（每周）
  • ✅ 先在测试环境中测试更新
  • ✅ 保持依赖项最少（避免过度依赖）
  • ✅ 添加新依赖项前审查
  • ✅ 监控安全公告

锁文件最佳实践

{
  "dependencies": {
    "express": "4.18.2",      // 生产环境中的确切版本
    "lodash": "^4.17.21"      // 允许开发环境中的补丁
  }
}

安全策略

  • 设置安全策略（SECURITY.md）
  • 配置漏洞披露流程
  • 建立漏洞修复的 SLA
    • 关键：24 小时
    • 高：7 天
    • 中：30 天
    • 低：下一个维护周期

代码审查清单

  • [ ] 新依赖项已审查和批准
  • [ ] 依赖项许可证已检查
  • [ ] 包大小已考虑
  • [ ] 替代方案已评估
  • [ ] 安全审计已运行
  • [ ] 传递依赖项已审查

工具和资源

漏洞数据库

  • 国家漏洞数据库（NVD）
  • GitHub 咨询数据库
  • Snyk 漏洞数据库
  • NPM 安全公告

扫描工具

  • npm audit：内置 npm 扫描器
  • Snyk：综合安全平台
  • WhiteSource：企业依赖项管理
  • OWASP 依赖项检查：多语言扫描器
  • Socket：供应链安全
  • Dependabot：自动更新

CI/CD 集成

  • GitHub Actions 安全扫描
  • GitLab 安全仪表板
  • Jenkins OWASP 插件
  • CircleCI 安全 Orb

摘要统计

总包数：342

  • 直接：45
  • 传递：297

漏洞：

  • 关键：2（0.6%）
  • 高：8（2.3%）
  • 中：10（2.9%）
  • 低：3（0.9%）
  • 总计：23（6.7%）

包健康状况：

  • 最新：330（96.5%）
  • 过时：12（3.5%）
  • 已弃用：3（0.9%）

估计修复时间：4-5 天 修复后风险：低

行动项摘要

立即（关键）：

  1. 更新 lodash 到 4.17.21
  2. 更新 sequelize 到 6.6.5

短期（高）： 3. 更新 express 生态系统包 4. 更新 marked 到 4.0.16 5. 更新 express-fileupload 到 1.4.0 6. 通过更新 mocha 修复 minimist

中期： 7. 替换已弃用包（request、node-uuid） 8. 更新中严重性漏洞 9. 审查并更新过时包

长期： 10. 设置自动化监控 11. 在 CI/CD 中实施安全扫描 12. 建立定期审计计划


## 笔记

- 定期运行审计（至少每周）
- 不要忽略低严重性问题（它们可能变为高）
- 保持依赖项最少
- 偏好拥有活跃社区的维护良好的包
- 监控您生态系统的安全公告
- 先在测试环境中测试所有更新
- 记录安全异常并附上理由
- 自动化工具有帮助，但手动审查仍然重要
- 平衡安全与稳定性（不要盲目更新所有内容）