dep-auditor

1# 依赖安全审计
2 
3## 核心原则
4 
5- 默认只读。用户只要求“检查、审计、报告”时，不修改 manifest、lockfile、源码、CI 或外部服务。
6- 以实际解析版本和可追溯 advisory 为证据。不要凭包名、版本年龄或记忆猜测 CVE、修复版本、可达性与许可证。
7- 优先使用项目锁定的包管理器和已有审计命令。不要为完成审计而裸跑 `npx`，也不要擅自执行 `pip install`、`go install`、`cargo install` 等下载命令。
8- 把“发现问题”“建议修复”“执行修改”分开。任何会改依赖或 lockfile 的动作都需要用户明确授权。
9- 许可证部分只陈述事实、适用场景和待确认事项，不作法律结论。
10 
11## 工作流程
12 
13### 1. 确认范围与授权
14 
15- 确认目标目录、生态、工作区范围和生产 / 开发依赖是否都要检查。
16- 说明将运行的命令、是否访问网络、可能向 registry 或漏洞服务发送哪些包元数据。
17- 先检查工作树和现有改动。不要覆盖、回退或混入用户未提交的修改。
18- 若缺少锁文件、工具或网络，继续完成可验证部分，并把覆盖缺口写入报告；不要用推测填空。
19 
20### 2. 建立依赖清单
21 
22- 查找 manifest 与 lockfile：`package.json`、`package-lock.json`、`pnpm-lock.yaml`、`yarn.lock`、`requirements*.txt`、`Pipfile.lock`、`poetry.lock`、`uv.lock`、`go.mod`、`go.sum`、`Cargo.toml`、`Cargo.lock`、`pom.xml`、Gradle 文件和 `Gemfile.lock`。
23- 用 lockfile 或包管理器解析结果确定实际版本；manifest 中的范围不能证明最终安装版本。
24- 从 `packageManager`、锁文件、wrapper、CI 和项目文档确认包管理器及版本。存在多个互相冲突的锁文件时，先报告歧义。
25- 标记直接 / 传递依赖、生产 / 开发范围与 workspace 归属。无法确定时写“未知”。
26 
27### 3. 选择只读检查
28 
29只运行与项目实际生态匹配、当前环境已可用的命令：
30 
31| 生态 | 首选证据 | 只读命令示例 |
32|------|----------|--------------|
33| npm | `package-lock.json`、项目 npm 版本 | `npm audit --json`、`npm outdated --json` |
34| pnpm | `pnpm-lock.yaml`、项目 pnpm 版本 | `pnpm audit --json`、`pnpm outdated --format json` |
35| Yarn | `yarn.lock`、项目 Yarn 版本 | 使用该版本文档支持的只读 audit / outdated 命令 |
36| Python | 当前虚拟环境、锁文件 | 已安装时运行 `pip-audit --format json`；版本盘点可用 `python -m pip list --outdated --format=json` |
37| Go | `go.mod` / `go.sum` | 已安装时运行 `govulncheck -json ./...`；`go list -m -json all` |
38…