dep-audit 是一款专为开发者设计的依赖安全审计工具，能够自动检测项目依赖树中存在的已知漏洞（CVE），覆盖 npm、pip、Cargo 和 Go 等主流编程语言生态系统。该工具无需配置 API 密钥或复杂设置，只需指向目标项目目录即可启动扫描，极大简化了供应链安全检查流程。其核心设计理念是‘默认只读’，即所有操作均以报告模式运行，确保用户始终掌握控制权，仅在明确授权后才执行修复操作。 该工具通过调用各生态系统的原生审计命令（如 `npm audit`、`cargo audit` 等）获取漏洞信息，并将结果标准化输出为统一格式。它不仅支持生成详细的 Markdown 格式审计报告，还能在 Discord 等平台以结构化消息形式呈现关键风险项，优先展示高危和严重级别漏洞，帮助用户快速定位最紧迫的安全问题。同时，工具具备完善的错误处理机制，即使部分环境缺失审计工具或锁文件无法解析，也能继续完成其他有效环境的扫描，避免因局部失败导致整体中断。 此外，dep-audit 还支持生成软件物料清单（SBOM），输出符合 CDX 标准的 JSON 文件，便于企业合规审计与资产追踪。整个流程完全本地化运行，仅依赖公开的安全数据库（如 OSV、GitHub Advisory DB），不向第三方发送任何项目数据，保障了隐私与安全性。对于希望提升代码仓库安全基线、满足 DevSecOps 要求或应对供应链攻击防护的团队而言，这是一个轻量、可靠且零侵入的解决方案。
核心功能特点
- 支持 npm、pip、Cargo 和 Go 四大主流语言生态的依赖漏洞扫描
- 无需 API 密钥或额外配置，直接分析项目目录下的 lockfile
- 输出标准化的 JSON 与可读性强的 Markdown 报告，突出显示高危漏洞
- 可在 Discord 等聊天平台以组件化方式展示结果，支持交互式操作按钮
- 提供修复建议并严格遵循确认机制，防止误操作修改代码
- 自动生成符合 CDX 规范的 SBOM 文件，助力合规审计
适用场景
在日常开发工作中，维护项目依赖的安全性至关重要。当团队需要定期评估多个代码仓库是否存在已知 CVE 时，dep-audit 可一键扫描指定路径下的所有项目，快速汇总各仓库的风险状态，显著提升运维效率。例如，一个拥有数十个微服务的项目组可以一次性检查所有服务的依赖健康度，优先处理标记为 Critical 或 High 的漏洞，避免低优先级问题分散注意力。 在企业级环境中，尤其是涉及金融、医疗或政府项目的组织，通常有严格的合规要求，必须提供完整的软件物料清单（SBOM）。使用 dep-audit 生成 sbom.cdx.json 文件，不仅能满足内部审计需求，还能在交付客户前快速验证第三方库的使用情况，降低法律与供应链风险。此外，新入职开发者接手遗留项目时，也可借助此工具快速识别潜在安全隐患，避免引入已被弃用或存在严重漏洞的依赖包。 对于开源贡献者而言，在合并 PR 前主动运行 dep-audit 检查依赖更新，有助于维护项目长期可持续性。即便个人开发者维护小型工具库，也能借此养成定期检查依赖的习惯，防患于未然。无论是自动化 CI/CD 流水线中的安全门禁，还是手动排查特定项目的依赖问题，dep-audit 都以其简洁、安全和高效的特点，成为现代开发流程中不可或缺的一环。