dependency-scanner¶

Skill 简介¶

Dependency Scanner 是由 OpenClaw 提供的 AI 驱动供应链安全工具，旨在帮助开发者有效管理和监控项目依赖中的潜在风险。在现代软件开发中，项目依赖项的复杂性不断增加，随之而来的安全漏洞、过时包、许可证冲突以及供应链攻击等问题也日益严峻。Dependency Scanner 通过自动化扫描和分析项目依赖树，能够及时发现并报告这些潜在风险，从而帮助团队在问题爆发前采取必要的预防措施。例如，它可以检测到类似 log4j 这样的重大漏洞，避免项目因此受到严重的安全威胁。

解决的核心问题¶

安全漏洞管理：通过持续扫描 CVE 数据库，确保项目依赖项中不存在已知的安全漏洞。
依赖项过时问题：识别并提醒开发者升级过时的依赖项，同时评估升级带来的风险。
许可证合规性：检查项目依赖项的许可证，确保其在商业项目中的合规性，避免使用受限制的许可证（如 AGPL）。
供应链攻击防护：检测依赖项中的异常行为，例如包名的拼写错误、版本号的异常跳跃或维护者的突然变更，从而防范潜在的供应链攻击。

主要功能¶

1. 多生态系统依赖树解析¶

Dependency Scanner 支持解析多种主流编程语言和包管理器的依赖树文件，包括：
- npm (package-lock.json)
- pip (requirements.txt)
- Go (go.sum)
- Cargo (Cargo.lock)
- Maven (pom.xml)

这种多生态系统的支持使得该工具能够广泛应用于不同类型的项目中，无论是前端、后端还是跨平台应用。

2. CVE 数据库关联与可达性分析¶

该工具不仅会扫描已知的 CVE（常见漏洞与暴露）数据库，还会进行可达性分析，以确定漏洞是否实际存在于项目的代码路径中。例如，如果某个依赖项的某个函数存在漏洞，但项目中并未调用该函数，工具会将其标记为“不可达”，从而降低误报率。

3. 语义版本分析与升级风险预测¶

Dependency Scanner 会分析依赖项的语义版本号，预测升级可能带来的影响。它会区分补丁版本（Patch）、次版本（Minor）和主版本（Major）的升级，并结合测试覆盖率和变更日志，为开发者提供升级建议。

4. 许可证检测与兼容性矩阵¶

该工具内置了一个许可证检测模块，能够识别依赖项使用的许可证，并将其与项目的许可证策略进行对比。例如，如果项目是一个 SaaS 产品，而某个依赖项使用 AGPL-3.0 许可证，工具会立即发出警报，因为 AGPL 在 SaaS 场景下可能带来合规性问题。

5. 供应链异常检测¶

Dependency Scanner 会监控依赖项的维护者变更、发布名的相似性以及版本号的异常跳跃等行为，以识别潜在的供应链攻击。例如，如果某个依赖项的维护者在短时间内频繁变更，或者版本号出现不寻常的跳跃，工具会发出警告，提醒开发者进行人工审核。

6. 自动生成升级拉取请求（PR）¶

该工具能够自动生成包含安全升级的拉取请求（PR），并在 PR 中附上变更日志摘录和测试说明。这不仅提高了升级效率，还确保了升级过程的透明性和可追溯性。

使用场景¶

1. 项目初始化阶段¶

在项目开发初期，开发者可以使用 Dependency Scanner 对初始依赖项进行全面扫描，确保所有依赖项都是安全的，并符合项目的许可证策略。

2. 持续集成（CI）流程¶

将 Dependency Scanner 集成到 CI/CD 流程中，可以在每次代码提交或合并时自动扫描依赖项，及时发现并修复潜在的安全漏洞。

3. 定期安全审计¶

对于长期运行的项目，定期使用 Dependency Scanner 进行安全审计，可以有效防止依赖项过时和潜在的安全风险积累。

4. 许可证合规性检查¶

在项目发布或交付前，使用 Dependency Scanner 进行许可证合规性检查，确保所有依赖项的许可证与项目的许可证策略一致，避免法律风险。

5. 供应链攻击防护¶

在依赖项管理中，Dependency Scanner 可以作为供应链攻击防护的重要工具，通过监控依赖项的异常行为，及时发现并阻止潜在的供应链攻击。

如何使用¶

1. 安装¶

首先，确保你已经安装了 Python 和 pip。然后，通过 pip 安装 Dependency Scanner：

pip install dependency-scanner

2. 配置¶

创建一个配置文件 dependency-scanner.yml，内容如下：

projects:
  - name: "backend"
    path: "/app/backend"
    ecosystem: "node"
    lockfile: "package-lock.json"
  - name: "ml-service"
    path: "/app/ml"
    ecosystem: "python"
    lockfile: "requirements.txt"
  - name: "api-gateway"
    path: "/app/gateway"
    ecosystem: "go"
    lockfile: "go.sum"

policies:
  max_critical_age: "24h"
  max_high_age: "7d"
  blocked_licenses: ["AGPL-3.0", "SSPL", "BSL"]
  auto_pr: true
  auto_pr_scope: "patch"

schedule:
  full_scan: "0 6 * * *"
  cve_monitor: "0 */4 * * *"
  weekly_report: "0 9 * * 1"

3. 运行扫描¶

在终端中运行以下命令启动扫描：

dependency-scanner scan

4. 查看报告¶

扫描完成后，工具会生成一份详细的报告，并自动生成升级 PR。

示例¶

1. 扫描项目依赖并生成报告¶

dependency-scanner scan

输出示例：

## Dependency Scan — Backend (Node.js)

**Scanned:** 847 packages (42 direct, 805 transitive)
**Date:** Feb 22, 2026

### Vulnerabilities Found: 6

#### Critical (patch within 24h)
| CVE | Package | Installed | Fixed | Reachable | CVSS |
|-----|---------|-----------|-------|-----------|------|
| CVE-2026-1234 | express | 4.17.1 | 4.21.0 | ✅ Yes | 9.8 |

#### High (patch within 7 days)
| CVE | Package | Installed | Fixed | Reachable | CVSS |
|-----|---------|-----------|-------|-----------|------|
| CVE-2026-0891 | jsonwebtoken | 8.5.1 | 9.0.2 | ✅ Yes | 9.1 |

2. 查看 CVE 详细信息¶

dependency-scanner cve CVE-2026-1234