核心用法
dep-audit 是一款面向开发者的依赖漏洞审计技能，支持 JavaScript/npm、Python/pip、Rust/Cargo 和 Go 四大主流生态。用户只需指向项目目录，无需 API 密钥或复杂配置，即可自动检测 lockfile、调用原生审计工具、聚合多语言结果并生成统一报告。
工作流程：
1. Detect：自动识别 lockfile（package-lock.json、Pipfile.lock、Cargo.lock、go.mod）及本地可用工具
2. Audit：逐生态运行专用审计脚本，输出标准化 JSON
3. Aggregate：汇总所有结果，生成 Markdown 报告与统一 JSON
4. Present：高亮展示 Critical/High 级别漏洞，Discord 场景下分块交付
5. Fix/SBOM：按需生成修复命令（需二次确认）或 SBOM（CycloneDX 格式）
显著优点
- 零门槛：无需注册账号、无 API 密钥、开箱即用
- 多语言覆盖：单命令审计异构技术栈项目
- 安全优先设计：默认只读，所有写操作（修复、SBOM 生成）均需显式授权
- 标准化输出：统一 JSON 格式便于 CI/CD 集成
- 健壮性：工具缺失时优雅降级，超时/解析错误不影响其他生态扫描
- 隐私友好：仅查询公共漏洞库（OSV、GitHub Advisory DB、RustSec），无遥测追踪
潜在局限
- 覆盖范围有限：v0.1.x 仅支持 npm 原生审计，yarn/pnpm 需手动执行
- 非运行时检测：仅识别已知 CVE，无法捕获零日漏洞或运行时安全问题
- 依赖原生工具：需本地安装 Node.js、Python、Rust、Go 对应 CLI
- jq 强依赖：聚合阶段必需
jq，部分极简环境需额外安装
适合人群
- 独立开发者：快速排查个人项目供应链风险
- 小型团队：缺乏专职安全工程师，需低成本自动化审计
- 开源维护者：生成 SBOM 满足合规要求
- CI/CD 集成：标准化 JSON 输出便于构建安全门禁
常规风险
- 误报与漏报：依赖公共数据库时效性，新漏洞可能存在窗口期
- 修复副作用：
npm audit fix等命令可能引入破坏性变更，尽管设计要求确认，用户仍需理解语义化版本风险 - 网络依赖：首次查询需下载漏洞数据库，离线环境受限
- 权限边界：
exec权限运行外部审计 CLI，需信任 skill 脚本来源
安全评估
来源可信度 T2（CacheForge 社区开发，无企业背书但代码透明）；安全等级 A（只读默认、显式确认写操作、无数据外传，但依赖外部审计工具网络行为）。