mcpField
S
sca-audit

sca-audit

github.com/owasp安全208293 次安装2 周前更新
代码仓库

关于 sca-audit

sca-audit 是用于检查项目依赖安全性的技能，可扫描已知 CVE 并评估依赖健康状况。它涵盖扫描器选择、漏洞分析和修复建议。

主要功能

  1. 01识别依赖清单与锁文件
  2. 02扫描多生态系统漏洞
  3. 03分析可达性与修复方案
  4. 04检查维护、许可证与版本固定
  5. 05按严重性整理发现和修复命令

适用场景

  1. 01检查代码库中的已知依赖 CVE
  2. 02评估漏洞代码路径是否可达
  3. 03发现过时或存在风险的依赖

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/owasp/secure-agent-playbook --skill sca-audit

安装后在 Claude Code 中输入/sca-audit确认已加载。

详细介绍

软件成分分析审计

按照 plays/sca-audit.md 中的完整流程扫描依赖项，查找已知的 CVE。

步骤

  1. 识别依赖清单 — 扫描各生态系统（Node.js、Python、Go、Java、Ruby、Rust、.NET、PHP）中的所有依赖文件和锁定文件。优先使用锁定文件，以获取精确的已解析版本。

  2. 运行漏洞扫描 — 按以下优先顺序使用可用工具：

    • osv-scanner --lockfile=<path> --format=json（推荐，支持多种生态系统）
    • npm audit --json（Node.js）
    • pip-audit -r requirements.txt --format=json（Python）
    • govulncheck ./...（Go）
    • trivy fs --format json --scanners vuln <path>（支持多种生态系统）
    • 如果未安装扫描器，停止并要求用户安装一个（例如，brew install osv-scanner）。手动分析不可行——即使是小型项目，也有 50 多个依赖项。对于单个软件包的分诊，请引导用户访问 OSV.dev。

  3. 分析结果 — 对每个漏洞：确定其可达性（是否使用了存在漏洞的代码路径？）、检查可利用性上下文（部署环境很重要），并确认是否有可用的修复方案（补丁还是升级到主版本）。

  4. 依赖项健康状况 — 除 CVE 外，还要标记无人维护的软件包（2 年以上未活跃）、仿冒软件包风险、许可证问题和版本固定问题。

输出

扫描摘要（生态系统、依赖项数量、使用的扫描器）、按严重性排序并使用 templates/finding.md 的发现项、精简的中低严重性问题表、依赖项健康状况标记，以及准确的修复命令。

OWASP 参考资料

  • A06:2021：易受攻击和过时的组件
  • OWASP Dependency-Check
  • OWASP SCVS

评论

支持 Markdown