supply-chain-advisory

介绍

供应链攻击是当前软件安全的主要威胁之一，开发者在引入第三方依赖时往往难以察觉版本篡改、lockfile 与实际依赖不一致、构建产物被恶意替换等问题。本 Skill 聚焦依赖供应链审计，通过自动化扫描项目中的 lockfile、依赖声明文件和构建产物，识别出可能存在安全风险的坏版本、lockfile 漂移以及工件完整性异常，帮助团队在 CI/CD 阶段或本地开发中提前发现隐患。 使用时，只需在项目根目录执行审计命令，Skill 会自动解析包管理器（如 npm、pip、maven）的配置，对比 lockfile 与依赖树的差异，并校验下载的工件哈希是否与官方一致。对于发现的问题，会输出详细的报告，包含受影响的包名、版本偏差、建议修复版本和修复命令。同时支持自定义规则，例如忽略某些已知的版本漂移场景。 本 Skill 适合所有使用第三方依赖的项目团队，尤其是后端开发、运维工程师和智能体开发者。在集成到 CI/CD 流水线时，可以作为前置安全检查门禁，防止带病依赖进入生产环境。对于个人开发者，也建议在提交代码前运行一次审计，避免引入已知的供应链漏洞。 使用时需注意，Skill 的审计结果依赖于包管理器提供的元数据，对于私有包或未公开的 registry 可能无法完全覆盖。建议结合 SCA（软件成分分析）工具一起使用，并定期更新依赖数据库以获取最新的坏版本列表。