dsh-dependency-audit · 依赖安全审计

扫描项目依赖的安全状态：① 通过 OSV.dev 查询每个依赖的已知漏洞；② 对比 npm registry 检测过期依赖。纯 Node 实现，仅需联网访问 osv.dev 与 npm registry。

提供的工具

安装

dsh plugin add dsh-dependency-audit

安装后在 profile 的 package.json 的 dsh.profile.bundles 中加入 "dsh-dependency-audit"。

用法示例

帮我审计这个项目依赖有没有已知漏洞
→ 调用 audit_vulnerabilities(root="/workspace")

哪些依赖过期了，升级幅度多大
→ 调用 audit_outdated(root="/workspace")

说明

• 漏洞数据来自 OSV.dev（开源漏洞数据库，覆盖 GitHub Advisory 等来源），查询免费无需 key。
• 只检查已安装（能解析出确切版本）的依赖；node_modules 里解析不到的依赖会跳过。
• 与 dsh-license-guard（许可证合规）、dsh-secret-scan（密钥扫描）构成安全三件套。