技能 security-scanning-security-dependencies
📦

security-scanning-security-dependencies

內容修訂 r2 中風險 ⚙️ 外部命令🌐 網路存取📁 檔案系統存取

掃描相依套件安全風險

相依套件漏洞與授權風險很難跨生態系追蹤。此技能會引導掃描、優先順序判定、SBOM 建立與修復規劃。

支援: Claude Codex Code(CC)
Maintain this Skill? Claim it 📊 69 尚可

使用我的智慧代理安裝

將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。

智能體請求
Review the Skillstore skill "security-scanning-security-dependencies" from https://skillstore.io/skills/sickn33-security-scanning-security-dependencies.md and its manifest at https://skillstore.io/api/skills/sickn33-security-scanning-security-dependencies/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。

Agent 可讀資源

當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。

Markdown 詳情 GET /skills/sickn33-security-scanning-security-dependencies.md 已簽名 manifest GET /api/skills/sickn33-security-scanning-security-dependencies/manifest 已簽名 lockfile GET /api/skills/sickn33-security-scanning-security-dependencies/lockfile

測試它

正在使用「security-scanning-security-dependencies」。 一個 Node.js 服務有套件檔案，並要求評估發行就緒狀態。

預期結果:

報告會識別 npm 為其生態系，優先列出 critical 與 high 問題，指出已修復版本，並建議在測試通過前阻擋發行。

正在使用「security-scanning-security-dependencies」。 一個混合 Python 與 Go 的儲存庫需要定期安全檢查。

預期結果:

工作流程建議包含個別掃描器步驟、保存的成品、critical 發現項目的門檻規則，以及修復審查負責人。

正在使用「security-scanning-security-dependencies」。 合規團隊要求取得應用程式的供應鏈證據。

預期結果:

回應會摘要說明 SBOM 覆蓋範圍、有漏洞的元件、未解決的授權問題，以及稽核證據的後續行動。

安全審計

中風險
v7 • 2026/8/26 開啟版本化報告

All 22 static findings are false positives caused by fixed-argument scanner commands, ordinary Python loops, shell syntax, Markdown formatting, and safety guidance. Contextual review found unpinned scanner installations and CI error suppression that can weaken scan integrity.

2
已掃描檔案
597
分析行數
0
複核項目
0
已忽略的誤報

已確認的安全問題 (2)

中
resources/implementation-playbook.md:356resources/implementation-playbook.md:363resources/implementation-playbook.md:514-525
Unpinned Security Tool Installation
The playbook installs scanners without pinned versions and uses @latest. Unexpected or compromised releases could enter CI and local environments.
The cited commands explicitly install unversioned packages and govulncheck@latest. This is a direct supply-chain reproducibility risk.
中
resources/implementation-playbook.md:350resources/implementation-playbook.md:357-358resources/implementation-playbook.md:364resources/implementation-playbook.md:374-378
Suppressed Scanner Failures Can Produce False Assurance
Several CI commands ignore scanner failures. Missing or malformed reports can bypass the later text count and allow an incomplete scan to pass.
The workflow explicitly applies || true to scan commands and checks only matched output text afterward. Scanner errors are not distinguished from clean results.

風險因素

⚙️ 外部命令 (8)
resources/implementation-playbook.md:116 resources/implementation-playbook.md:148 resources/implementation-playbook.md:179 resources/implementation-playbook.md:211 resources/implementation-playbook.md:374 resources/implementation-playbook.md:384 SKILL.md:37 SKILL.md:46
🌐 網路存取 (1)
resources/implementation-playbook.md:471
📁 檔案系統存取 (10)
resources/implementation-playbook.md:374 resources/implementation-playbook.md:126 resources/implementation-playbook.md:158 resources/implementation-playbook.md:221 resources/implementation-playbook.md:239 resources/implementation-playbook.md:259 resources/implementation-playbook.md:289 resources/implementation-playbook.md:318 resources/implementation-playbook.md:455 resources/implementation-playbook.md:487
審計單位: codex 檢視審計紀錄 →
分享與引用此報告

分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。

開啟版本化報告
安全評估

複製報告連結

https://skillstore.io/skills/sickn33-security-scanning-security-dependencies/audits/7?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/sickn33-security-scanning-security-dependencies/security.svg)](https://skillstore.io/skills/sickn33-security-scanning-security-dependencies?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/sickn33-security-scanning-security-dependencies?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-security-scanning-security-dependencies/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/sickn33-security-scanning-security-dependencies.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
學術引用 (APA · BibTeX · CFF)

APA 引用

sickn33. (2026). security-scanning-security-dependencies security audit report (audit version 7) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-security-scanning-security-dependencies/audits/7

BibTeX 引用

@techreport{sickn33-sickn33-security-scanning-security-dependencies-2026, author = {sickn33}, title = {security-scanning-security-dependencies security audit report (audit version 7)}, institution = {Skillstore}, year = {2026}, number = {7}, url = {https://skillstore.io/skills/sickn33-security-scanning-security-dependencies/audits/7}, note = {Author version unspecified} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "security-scanning-security-dependencies security audit report (audit version 7)" version: "unspecified" type: report authors: - name: "sickn33" date-released: "2026-08-26" url: "https://skillstore.io/skills/sickn33-security-scanning-security-dependencies/audits/7" identifiers: - type: other value: "skillstore:sickn33-security-scanning-security-dependencies:audit:7" description: "Skillstore immutable audit report identifier"

Skillstore 評分

評分依據 證據置信度: 高
55
架構
85
可維護性
87
內容
69
社群
83
規範符合度

你可以打造什麼

稽核發行相依套件

在發行前掃描相依套件檔案，並識別必須阻擋部署的 critical 修復項目。

準備合規證據

產生以 SBOM 為導向的庫存筆記，並彙整有漏洞的套件供合規審查。

標準化儲存庫檢查

為使用多個套件生態系的團隊建立可重複執行的 CI 相依套件掃描步驟。

試試這些提示

掃描單一專案 
掃描此專案的相依套件漏洞。識別套件生態系、所需工具，以及最高優先級的修復步驟。
審查 Lockfiles 
審查此儲存庫中的相依套件清單與 lockfiles。摘要說明有漏洞的套件、已修復版本，以及變更前的測試步驟。
規劃 CI 掃描 
為此儲存庫設計相依套件安全掃描工作流程。包含掃描頻率、失敗門檻、成品與權責指引。
排定修復計畫優先順序 
跨生態系分析相依套件風險，並使用嚴重性、可利用性、修復可用性、發行影響與 SBOM 需求建立修復計畫。

最佳實務

  • 定期執行掃描，並在高風險發行前執行掃描。
  • 使用嚴重性、利用可用性與應用程式暴露程度排定修復優先順序。
  • 在合併修復變更前，測試每一次相依套件更新。

避免

  • 未經明確核准與審查就執行 auto-fix 命令。
  • 未檢查誤報就將掃描器輸出視為完整結果。
  • 在評估實際部署的相依套件版本時忽略 lockfiles。

常見問題

此技能涵蓋哪些生態系？
它涵蓋 npm、Python、Go 和 Rust 範例，並提供可調整套用到其他套件管理器的模式。
它可以產生 SBOM 嗎？
它提供 SBOM 風格元件庫存與 CycloneDX 導向報告的指引，但輸出取決於可用的專案資料。
它會自動修復漏洞嗎？
它包含修復範例，但相依套件變更只應在明確核准與測試後執行。
它需要網路存取嗎？
許多掃描器會查詢漏洞資料庫或套件登錄檔，因此目前結果可能需要網路存取。
它可以評估授權風險嗎？
它可以引導授權審查並標記需要後續處理的套件，但法律決策需要合格審查。
它適合 CI pipelines 嗎？
是。它包含 CI 掃描模式、門檻、保存的成品與定期掃描指引。

開發者詳細資訊

作者

sickn33

授權

MIT

Skillstore 修訂

r2

版本提示

作者未聲明版本。

儲存庫

https://github.com/sickn33/antigravity-awesome-skills/tree/main/skills/security-scanning-security-dependencies

引用

4804b3d672af16b8afca785bbb6c5d7c7400a78f

維護新鮮度

2026/8/27

使用量

9 次下載 · 106 次瀏覽

檔案結構

📁 resources/

📄 implementation-playbook.md

📄 SKILL.md

sickn33 的更多技能

查看全部

相關技能

查看全部