dependency-audit

Original skill document

Rendered from the source repository. Headings, examples, code, tables, links, and referenced images are preserved.

Dependency Audit

扫描项目依赖，检测安全漏洞、过时包和 license 合规问题。

Overview

全面审计项目依赖：CVE 漏洞扫描、过时依赖检测、license 合规检查、重复依赖分析。输出按严重程度排序的安全报告和可执行的修复命令。

When to Use

User wants to check dependency security
User mentions CVE, vulnerability, or audit
User wants to know outdated dependencies
User says "审计依赖" / "check dependencies"
User inputs /dependency-audit

When NOT to Use:

User only wants to update versions
User wants code-level security review
User wants to analyze runtime dependencies
User wants deep license analysis
User wants to scan Docker images

Core Pattern

Step 1: 检测包管理器

检测文件	包管理器	审计命令
`package-lock.json`	npm	`npm audit`
`yarn.lock`	yarn	`yarn audit`
`pnpm-lock.yaml`	pnpm	`pnpm audit`
`go.sum`	Go	`govulncheck ./...`
`requirements.txt` / `Pipfile.lock`	Python	`pip-audit`
`Cargo.lock`	Rust	`cargo audit`

Step 2: 漏洞扫描

bash

# 工具可用性检查（所有步骤共用）
check_tool() {
  command -v "$1" >/dev/null 2>&1 || { echo "⚠️ $1 未安装，跳过 $2 审计"; return 1; }
}

核心命令（按包管理器分别执行，缺失工具自动跳过）：

⚠️ npm audit 在发现漏洞时退出码非 0 —— 不要用 if npm audit ...; then 判断成功，直接解析 --json 输出：

包管理器	审计命令
npm	`npm audit --json \	jq '.metadata.vulnerabilities.total'` → 解析 vulnerabilities 数量 + 严重程度（勿依赖退出码）
Go	`govulncheck ./...` → 安装 golang.org/x/vuln/cmd/govulncheck@latest
Python	`pip-audit` → 安装: `pip install pip-audit`

输出：漏洞总数 + 按严重程度（critical/high/medium/low）分类的 CVE 列表。

Step 3: 过时依赖检测

核心命令（按包管理器分别执行，缺失工具自动跳过）：

包管理器	检测命令
npm	`npx npm-check-updates --format table`
Go	`go list -m -u all \	grep "\["`
Python	`pip list --outdated`

统计：过时依赖数量、major/minor/patch 升级分布、是否有安全相关更新。

Step 4: License 合规检查

核心命令（按包管理器分别执行）：

包管理器	检测命令
npm	`npx license-checker --json` → 按许可证类型统计数量
Go	`go-licenses csv ./...` → 安装: `go install github.com/google/go-licenses@latest`

检测重点：GPL/AGPL 等 copyleft 许可证、未知/自定义许可证、许可证兼容性。

Step 5: 生成报告

使用 templates/audit-report.md 模板，输出：

安全概览 — 漏洞数量和严重程度分布
高危漏洞 — 需要立即修复的 CVE
过时依赖 — 按升级难度排序
License 合规 — 风险许可证列表
修复命令 — 每个问题附带可执行命令

Quick Reference

bash

/dependency-audit                    # 完整审计
/dependency-audit --security         # 只检查安全漏洞
/dependency-audit --licenses         # 只检查 license
/dependency-audit --fix              # 自动修复可安全升级的依赖

参数	说明	默认值
`--security`	只检查安全漏洞	false
`--licenses`	只检查 license 合规	false
`--fix`	自动修复	false

Common Mistakes

错误	正确做法	原因
只看 high/critical	medium 也需要关注	很多攻击链从 medium 升级而来
盲目升级所有依赖	逐个升级并测试	major 升级可能有 breaking changes
不检查 transitive 依赖	分析完整依赖树	漏洞常出在间接依赖中
忽略 license 合规	定期检查 license	GPL 传染性风险
audit 后不更新 lock 文件	重新生成 lock 文件	确保修复生效
忽略已弃用的依赖	检查弃用警告	弃用包可能有安全风险