用 OSV.dev 给 Claude Code 造一个依赖漏洞扫描 Skill

---
name: dep-vuln-scan
description: 扫描依赖清单中的已知漏洞并生成修复报告。当用户问"有没有漏洞/依赖是否安全/供应链风险"时使用。
when_to_use: 触发短语如"扫一下依赖漏洞"、"这个库安全吗"、"依赖审计"。
allowed-tools: Read Bash(python3 *) Grep
disable-model-invocation: false
argument-hint: [manifest-path]
arguments: manifest
paths: "**/package.json, **/requirements.txt, **/go.mod"
---

dep-vuln-scan/
├── SKILL.md                       # 精炼指令 + 导航
├── references/
│   └── remediation-priority.md    # 修复优先级评分参考（按需加载）
└── scripts/
    └── osv_scan.py                # 调 OSV API 的核心脚本（执行，不读）

mkdir -p .claude/skills/dep-vuln-scan/references
mkdir -p .claude/skills/dep-vuln-scan/scripts

#!/usr/bin/env python3
"""osv_scan.py — 调用 OSV.dev 批量查询依赖漏洞，输出 JSON 报告。
用法: python3 osv_scan.py <manifest-path> [--ecosystem npm|pypi|go]
"""
import json, sys, urllib.request, re
from pathlib import Path

OSV_BATCH = "https://api.osv.dev/v1/querybatch"
OSV_VULN  = "https://api.osv.dev/v1/vulns/"

def parse_npm(path):
    pkg = json.loads(Path(path).read_text())
    deps = {**pkg.get("dependencies", {}), **pkg.get("devDependencies", {})}
    return [{"package": {"name": n, "ecosystem": "npm"}, "version": v.lstrip("^~>=< ")} for n, v in deps.items()]

def parse_pypi(path):
    out = []
    for line in Path(path).read_text().splitlines():
        m = re.match(r"\s*([A-Za-z0-9_.\-]+)\s*[=<>~!]=*\s*([0-9A-Za-z.\-]+)", line)
        if m:
            out.append({"package": {"name": m.group(1), "ecosystem": "PyPI"}, "version": m.group(2)})
    return out

def query_batch(queries):
    req = urllib.request.Request(OSV_BATCH, data=json.dumps({"queries": queries}).encode(),
                                 headers={"Content-Type": "application/json"})
    return json.loads(urllib.request.urlopen(req, timeout=30).read()).get("results", [])

def severity(vuln_id):
    try:
        d = json.loads(urllib.request.urlopen(OSV_VULN + vuln_id, timeout=30).read())
        sev = d.get("severity", [])
        for s in sev:
            if s.get("type", "").startswith("CVSS"):
                # 取 CVSS 向量里的 baseScore
                vec = s.get("score", "")
                m = re.search(r"CVSS:3.[01]/AV:([LNAP])", vec)
                attack = m.group(1) if m else "?"
                return {"score": _cvss_base(vec), "vector": vec[:60], "attack_vector": attack,
                        "fixed": [r.get("fixed") for f in d.get("affected", []) for r in f.get("ranges", [{}])[0].get("events", []) if "fixed" in r]}
    except Exception:
        pass
    return {"score": None}

def _cvss_base(vec):
    # 简化估算：网络可达 + 高影响 → 偏高，仅用于排序，非精确分
    return 7.0 if "AV:N" in vec else 5.0

def main():
    path, eco = sys.argv[1], sys.argv[3] if len(sys.argv) > 3 and sys.argv[2] == "--ecosystem" else None
    suffix = Path(path).name
    if suffix == "package.json" or eco == "npm":
        queries = parse_npm(path)
    elif suffix == "requirements.txt" or eco == "pypi":
        queries = parse_pypi(path)
    else:
        print(json.dumps({"error": f"不支持的清单: {suffix}"})); return
    results = query_batch(queries)
    findings = []
    for q, r in zip(queries, results):
        for vid in r.get("vulns", []):
            info = severity(vid)
            findings.append({"package": q["package"]["name"], "version": q["version"],
                             "vuln": vid, **info})
    findings.sort(key=lambda x: x.get("score") or 0, reverse=True)
    print(json.dumps({"manifest": path, "total": len(findings), "findings": findings}, ensure_ascii=False, indent=2))

if __name__ == "__main__":
    main()

{ "manifest": "package.json", "total": 2,
  "findings": [
    {"package": "lodash", "version": "4.17.4", "vuln": "GHSA-35jh-r3h4-6jhm", "score": 7.0, "attack_vector": "N", "fixed": ["4.17.21"]},
    ...
  ]}

# 漏洞修复优先级评分（0–100）

| 维度 | 权重 | 取值 |
|------|------|------|
| 攻击向量 AV | 40 | 网络(N)=40 本地(L)=20 物理(P)=5 |
| 是否有官方修复 fixed 字段 | 30 | 有明确修复版本=30 无=0 |
| 依赖是否在生产链路 | 20 | dependencies=20 devDependencies=8 |
| CVSS 基础分 | 10 | score/10 |

优先级：≥70 必须立刻修（P0）；40–69 本周修（P1）；<40 可排期（P2）。
无 fixed 字段的漏洞：考虑替换该依赖或加运行时防护，不要简单升级。

---
name: dep-vuln-scan
description: 扫描项目依赖清单（package.json/requirements.txt/go.mod）的已知漏洞并生成可执行的修复报告。当用户问"依赖有没有漏洞/供应链是否安全/这个库安全吗"时使用。
when_to_use: 触发短语——"扫依赖漏洞"、"依赖审计"、"supply chain risk"、"升级前检查"。
allowed-tools: Read Bash(python3 ${CLAUDE_SKILL_DIR}/scripts/osv_scan.py *) Bash(python3 ${CLAUDE_PROJECT_DIR}/.claude/skills/dep-vuln-scan/scripts/osv_scan.py *) Grep
argument-hint: [manifest-path]
arguments: manifest
paths: "**/package.json, **/requirements.txt, **/go.mod, **/pom.xml"
---

## 扫描目标
当前要扫描的依赖清单：$ARGUMENTS
若用户未指定路径，先用 Grep 找到仓库根最近的 `package.json` 或 `requirements.txt`，确认后再扫描。

## 执行扫描
运行核心脚本（输出结构化 JSON）：
!`python3 ${CLAUDE_SKILL_DIR}/scripts/osv_scan.py $ARGUMENTS`

## 报告规则
1. 上面的脚本输出已是按 CVSS 排序的 JSON，直接基于它生成报告，不要凭记忆猜测漏洞。
2. 给每个漏洞打"修复优先级分（0–100）"，评分细则见 `${CLAUDE_SKILL_DIR}/references/remediation-priority.md`——仅在需要解释评分或写修复建议时再读取该文件。
3. 输出三张表：
   - **P0 立即修**：包名 / 当前版本 / 漏洞编号 / 攻击向量 / 建议修复版本
   - **P1 本周修**：同上
   - **可排期（P2）**：仅列包名与漏洞数
4. 每个 P0 漏洞附一条"可直接复制的修复命令"（如 `npm i [email protected]`）。
5. 若某漏洞 `fixed` 字段为空，明确标注"无官方修复，建议替换依赖或加防护"，不要建议升级。

## 安全边界
- 只读依赖清单，禁止修改 `package.json` / `lock` 文件，除非用户明确说"帮我修"。
- 脚本只联网查询 OSV，不上传任何业务代码。

/dep-vuln-scan package.json

我们这个项目上线前，依赖有没有已知漏洞？

帮我重构一下 utils.js 里的日期处理

flowchart TD
    A[用户: 依赖安全吗?] --> B{匹配 description<br/>when_to_use?}
    B -- 是 --> C[加载 dep-vuln-scan]
    B -- 否 --> Z[不触发, 走普通对话]
    C --> D[SKILL.md 入上下文<br/>references/scripts 暂不加载]
    D --> E["动态注入: !`python3 osv_scan.py`"]
    E --> F[执行脚本 调 OSV.dev API]
    F --> G[JSON 漏洞结果原地注入正文]
    G --> H{需要解释评分/写建议?}
    H -- 是 --> I[按需读取 remediation-priority.md]
    H -- 否 --> J[直接出报告]
    I --> J
    J --> K[输出 P0/P1/P2 三表 + 修复命令]
    K --> L{用户说'帮我修'?}
    L -- 是 --> M[显式授权后改 lock 文件]
    L -- 否 --> N[结束, 仅给建议]