dependency-auditor

依赖审计工具

一套多语言工具包，用于分析、审计和管理依赖项。它会扫描 8 种以上生态系统中的清单文件和锁定文件，以发现漏洞、分类许可证、检测依赖臃肿情况，并制定安全、分阶段的升级计划，帮助团队了解依赖树中隐藏的安全、法律和维护风险。

核心能力

• 漏洞扫描与 CVE 匹配 — 将直接依赖和传递依赖与内置的 CVE 数据库进行匹配，并在 Node、Python、Go、Rust、Ruby、Java、PHP 和 .NET 生态系统中进行 CVSS 评分。
• 许可证合规 — 将许可证划分为宽松型／弱著佐权型／强著佐权型／专有型／未知类别，并检测不兼容的组合（例如 GPL 污染）。
• 过期与维护状况检测 — 按补丁／次要／主要版本的严重程度对更新进行分类；标记已弃用或已结束生命周期的包。
• 依赖臃肿分析 — 查找未使用、冗余或过大的包，以及整合机会。
• 升级路径规划 — 预测 semver 破坏性变更、生成风险矩阵、确定优先级并制定回滚策略。
• 供应链安全 — 检查来源证明、检测拼写仿冒／恶意包，并对传递风险进行评分。
• 锁定文件分析 — 验证新鲜度、完整性哈希和跨环境一致性，确保构建可重现。

适用场景

• 审计项目依赖项，查找漏洞或供应链风险。
• 在分发或并购尽职调查前检查许可证合规性。
• 规划安全、分阶段的依赖升级。
• 在 CI/CD 中添加依赖安全门禁。
• 清理未使用或冗余的依赖项。

请先确认

运行审计前，请确认以下输入。如果有任何一项未知或含糊不清，请先询问，不要自行假设：

• 项目与生态系统 — 项目路径，以及需要扫描的清单文件／锁定文件（扫描器解析的输入）
• 审计重点 — 漏洞、许可证合规或升级规划（决定使用 dep_scanner.py、license_checker.py 还是 upgrade_planner.py）
• 策略与门禁 — 许可证策略的严格程度和失败严重性阈值（设置 --policy、--fail-on-high 和 CI 判定结果）

停止规则：只询问最可能影响输出的 2-3 项。如果用户说“先起草一版”，就继续执行，并在产物开头列出假设。

工具

工具	用途	命令
dep_scanner.py	扫描 8 种以上生态系统中的清单文件／锁定文件、匹配 CVE 并生成安全报告	python scripts/dep_scanner.py /path/to/project --format json --fail-on-high
license_checker.py	按风险类别对依赖许可证进行分类，并检测其与项目许可证的冲突	python scripts/license_checker.py /path/to/project --policy strict --warn-conflicts
upgrade_planner.py	评估 semver 差距、评估破坏性变更风险并输出分阶段升级计划	python scripts/upgrade_planner.py deps.json --risk-threshold medium --timeline 30

参考资料

加载与任务匹配的参考资料——保持此文件精简，按需查阅详细信息：

• references/capabilities-and-best-practices.md — 全面介绍每项分析能力、扫描器／分析器／规划器的内部机制、各团队的用例、高级／企业功能、建议的扫描频率以及指标／KPI。需要深入了解能力或架构细节时阅读。
• references/tools-integration-and-troubleshooting.md — 快速入门和 CI/CD／定期审计集成命令、各工具完整的标志／输出参考、故障排查表以及成功标准目标。运行工具、将其接入流水线或诊断故障时阅读。
• references/vulnerability_assessment_guide.md — 如何评估、确定优先级并修复依赖项漏洞（CVSS、可利用性、披露时间线）。对安全发现进行分类或响应时阅读。
• references/license_compatibility_matrix.md — 全面的许可证类型参考，以及组合开源依赖项时的兼容性矩阵。解决许可证冲突或制定分发决策时阅读。
• references/dependency_management_best_practices.md — 涵盖依赖项生命周期各阶段的战略、治理、安全和运营最佳实践。制定依赖项策略或团队工作流时阅读。

范围与限制

此技能涵盖：

• 解析 JavaScript/Node.js、Python、Go、Rust、Ruby、Java、PHP 和 C#/.NET 生态系统的依赖清单和锁定文件。
• 将依赖项与内置的常见 CVE 模式漏洞数据库进行匹配，并评定严重性。
• 将许可证分类为风险等级（宽松、弱著佐权、强著佐权、专有、未知），并检测冲突。
• 生成按优先级排序、分阶段的升级计划，其中包含破坏性变更分析、回滚流程和时间估算。

此技能不涵盖：

• 实时查询在线漏洞数据库（NVD、OSV、GitHub Advisory）；内置数据库仅包含代表性子集。如需持续监控，请参阅 skill-security-auditor。
• 容器镜像或操作系统级软件包扫描。如需基础设施审计，请参阅 ci-cd-pipeline-builder 或 observability-designer。
• 自动创建依赖项更新 PR（类似 Dependabot/Renovate）；此技能生成计划和报告，不会修改代码。
• 运行时依赖项分析或动态导入跟踪；检测仅通过静态解析清单／锁定文件进行。

集成点

技能	集成方式	数据流
skill-security-auditor	将漏洞扫描结果纳入更广泛的安全审计工作流	将 dep_scanner.py --format json 的输出作为证据材料使用
ci-cd-pipeline-builder	在 CI/CD 流水线中嵌入依赖项门禁	将 dep_scanner.py --fail-on-high 和 license_checker.py --policy strict 用作流水线步骤
release-manager	将依赖项审计报告附加到发布检查清单	将全部三个工具生成的 JSON 报告纳入发布文档
pr-review-expert	在拉取请求审查期间标记依赖项变更	对比基础分支与头部分支中的依赖项文件，生成扫描器差异
env-secrets-manager	确保安全管理依赖项工具凭据（注册表令牌）	通过密钥管理器存储并轮换注册表身份验证令牌
observability-designer	随时间监控依赖项健康指标	将扫描汇总统计数据导出到监控仪表板