技能 security-scanning-security-dependencies
📦
security-scanning-security-dependencies
内容修订 r2 中风险 ⚙️ 外部命令🌐 网络访问📁 文件系统访问
扫描依赖项安全风险
依赖项漏洞和许可证风险很难跨生态系统跟踪。此技能可指导扫描、优先级排序、SBOM 创建和修复规划。
支持: Claude Codex Code(CC)
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "security-scanning-security-dependencies" from https://skillstore.io/skills/sickn33-security-scanning-security-dependencies.md and its manifest at https://skillstore.io/api/skills/sickn33-security-scanning-security-dependencies/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“security-scanning-security-dependencies”。 一个 Node.js 服务包含包文件，并请求评估发布就绪情况。
预期结果:
报告将 npm 识别为生态系统，首先列出严重和高危问题，说明已修复版本，并建议在测试通过前阻止发布。
正在使用“security-scanning-security-dependencies”。 一个混合 Python 和 Go 仓库需要定期安全检查。
预期结果:
工作流建议包括单独的扫描器步骤、保存的产物、针对严重发现项的阈值规则，以及修复审查负责人。
正在使用“security-scanning-security-dependencies”。 合规团队请求某个应用程序的供应链证据。
预期结果:
响应汇总 SBOM 覆盖范围、存在漏洞的组件、未解决的许可证问题，以及用于审计证据的后续行动。
安全审计
中风险v7 • 2026/8/26 打开版本化报告
All 22 static findings are false positives caused by fixed-argument scanner commands, ordinary Python loops, shell syntax, Markdown formatting, and safety guidance. Contextual review found unpinned scanner installations and CI error suppression that can weaken scan integrity.
2
已扫描文件
597
分析行数
0
复核项
0
已忽略误报
已确认安全问题 (2)
中
resources/implementation-playbook.md:356resources/implementation-playbook.md:363resources/implementation-playbook.md:514-525
Unpinned Security Tool Installation
The playbook installs scanners without pinned versions and uses @latest. Unexpected or compromised releases could enter CI and local environments.
The cited commands explicitly install unversioned packages and govulncheck@latest. This is a direct supply-chain reproducibility risk.
中
resources/implementation-playbook.md:350resources/implementation-playbook.md:357-358resources/implementation-playbook.md:364resources/implementation-playbook.md:374-378
Suppressed Scanner Failures Can Produce False Assurance
Several CI commands ignore scanner failures. Missing or malformed reports can bypass the later text count and allow an incomplete scan to pass.
The workflow explicitly applies || true to scan commands and checks only matched output text afterward. Scanner errors are not distinguished from clean results.
风险因素
⚙️ 外部命令 (8)
🌐 网络访问 (1)
📁 文件系统访问 (10)
resources/implementation-playbook.md:374 resources/implementation-playbook.md:126 resources/implementation-playbook.md:158 resources/implementation-playbook.md:221 resources/implementation-playbook.md:239 resources/implementation-playbook.md:259 resources/implementation-playbook.md:289 resources/implementation-playbook.md:318 resources/implementation-playbook.md:455 resources/implementation-playbook.md:487
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/sickn33-security-scanning-security-dependencies/audits/7?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/sickn33-security-scanning-security-dependencies?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/sickn33-security-scanning-security-dependencies?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-security-scanning-security-dependencies/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/sickn33-security-scanning-security-dependencies.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
sickn33. (2026). security-scanning-security-dependencies security audit report (audit version 7) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-security-scanning-security-dependencies/audits/7BibTeX 引用
@techreport{sickn33-sickn33-security-scanning-security-dependencies-2026,
author = {sickn33},
title = {security-scanning-security-dependencies security audit report (audit version 7)},
institution = {Skillstore},
year = {2026},
number = {7},
url = {https://skillstore.io/skills/sickn33-security-scanning-security-dependencies/audits/7},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "security-scanning-security-dependencies security audit report (audit version 7)"
version: "unspecified"
type: report
authors:
- name: "sickn33"
date-released: "2026-08-26"
url: "https://skillstore.io/skills/sickn33-security-scanning-security-dependencies/audits/7"
identifiers:
- type: other
value: "skillstore:sickn33-security-scanning-security-dependencies:audit:7"
description: "Skillstore immutable audit report identifier"
Skillstore 评分
评分依据 证据置信度: 高 55
架构
85
可维护性
87
内容
69
社区
83
规范符合性
你能构建什么
审计发布依赖项
在发布前扫描依赖项文件，并识别必须阻止部署的关键修复项。
准备合规证据
生成面向 SBOM 的清单记录，并汇总存在漏洞的软件包以供合规审查。
标准化仓库检查
为使用多个包生态系统的团队创建可重复的 CI 依赖项扫描步骤。
试试这些提示
扫描单个项目
扫描此项目的依赖项漏洞。识别包生态系统、所需工具以及最高优先级的修复步骤。
审查锁文件
审查此仓库中的依赖项清单文件和锁文件。汇总存在漏洞的软件包、已修复版本以及变更前的测试步骤。
规划 CI 扫描
为此仓库设计依赖项安全扫描工作流。包括扫描频率、失败阈值、产物和负责人指导。
确定修复计划优先级
跨生态系统分析依赖项风险，并使用严重性、可利用性、修复可用性、发布影响和 SBOM 需求创建修复计划。
最佳实践
- 定期运行扫描，并在高风险发布前运行扫描。
- 使用严重性、利用可用性和应用程序暴露面来确定修复优先级。
- 在合并修复变更前测试每一次依赖项更新。
避免
- 在没有明确批准和审查的情况下运行自动修复命令。
- 未检查误报就将扫描器输出视为完整结果。
- 在评估实际部署的依赖项版本时忽略锁文件。
常见问题
此技能涵盖哪些生态系统？
它涵盖 npm、Python、Go 和 Rust 示例，并提供可适配到其他包管理器的模式。
它能生成 SBOM 吗？
它提供 SBOM 风格组件清单和面向 CycloneDX 的报告指导，但输出取决于可用的项目数据。
它会自动修复漏洞吗？
它包含修复示例，但依赖项变更只能在获得明确批准并完成测试后运行。
它需要网络访问吗？
许多扫描器会查询漏洞数据库或包注册表，因此可能需要网络访问才能获得当前结果。
它能评估许可证风险吗？
它可以指导许可证审查并标记需要后续跟进的软件包，但法律决策需要合格人员审查。
它适合 CI 流水线吗？
是的。它包含 CI 扫描模式、阈值、保存的产物以及定期扫描指导。
开发者详情
作者
sickn33许可证
MIT
Skillstore 修订
r2
版本提示
作者未声明版本。
引用
4804b3d672af16b8afca785bbb6c5d7c7400a78f
维护新鲜度
2026/8/26
使用量
9 次下载 · 106 次浏览
文件结构