mcpField
S
security-scan

security-scan

github.com/redpanda-data安全4.3k53 次安装今天更新
代码仓库

关于 security-scan

security-scan 是用于处理 Snyk 扫描发现的 npm 依赖漏洞的编码技能。它指导开发者识别直接或传递依赖问题、选择修复方式并验证更改。

主要功能

  1. 01区分直接依赖与传递依赖
  2. 02检查 package 和锁文件版本
  3. 03查询 npm 中的修复版本
  4. 04运行类型检查、lint、构建和测试

适用场景

  1. 01分析 Snyk 漏洞报告
  2. 02修复存在漏洞的直接依赖
  3. 03处理传递依赖中的漏洞
  4. 04验证 npm 安全更新

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/redpanda-data/console --skill security-scan

安装后在 Claude Code 中输入/security-scan确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

rules/
_sections.md
_template.md
vuln-direct-deps.md
vuln-transitive-deps.md

详细介绍

安全扫描

修复 Snyk.io 安全扫描发现的 npm 依赖项漏洞。

激活条件

  • 用户分享 Snyk 漏洞报告
  • 提及 CVE/CWE
  • 请求修复 npm 依赖项中的安全问题

快速参考

操作规则
修复直接依赖vuln-direct-deps.md
修复传递依赖vuln-transitive-deps.md

工作流

1. 评估
  • 解析漏洞报告：软件包、版本、CVE/CWE、严重程度、修复版本
  • 分类为直接依赖（位于 package.json 中）或传递依赖（由其他软件包引入）
2. 调查
  • 检查 package.json 中的当前版本和已有覆盖规则
  • 检查锁文件中的实际解析版本
  • 在源代码中搜索对漏洞软件包的直接使用
  • 在 npm 注册表中检查可用的修复版本：npm view <package> versions --json
3. 修复

请参阅针对具体修复模式的规则。

4. 验证
bun i --yarn
bun run type:check
bun run lint
bun run build
bun run test

必须全部通过。

提示

  • 安全修复使用精确版本（不带 ^ 前缀）
  • 优先修复严重/高危漏洞
  • 用其他软件包替换不再维护的软件包，而不是修补它们
  • 添加注释说明变通方案及其原因

规则

详细指南请参阅 rules/ 目录。

评论

支持 Markdown