前言¶
项目依赖一旦引入带 CVE 的库，往往在合并或上线后才暴露。手工对照公告、逐个查版本既慢，又容易漏掉间接依赖。把「扫依赖、对 CVE、给升级建议、出报告」做成 Agent Skill，可以在日常对话里对当前仓库做一次结构化安全评估，而不必单独搭一套扫描流水线。
下面介绍 SkillHub 社区 Skill「依赖安全扫描」的定位、能力与安装方式。
这是什么¶
「依赖安全扫描」是 SkillHub 上的社区 Skill，坐标为 @user_8509461a/dependency-scanner，当前版本 1.0.0，分类 it-ops-security，发布者为 user_8509461a（SkillHub 页面标注作者为蜀企投管（四川省）企业管理有限公司）。标签 requires_api_key=false，表示按 SkillHub 元数据无需额外 API Key。
一句话定位：在 Agent 环境中自动扫描项目依赖中的已知安全漏洞，对接 CVE 数据库，并给出升级建议与安全评估报告。
官方入口：
- SkillHub 页面：https://www.skillhub.cn/skills/user_8509461a/dependency-scanner
- API 元数据：https://api.skillhub.cn/user_8509461a/dependency-scanner
核心功能¶
以下能力均来自 SkillHub 官方简介，未在页面上单独展开的实现细节不作延伸。
- 多语言 / 多生态：支持 Node.js/npm、Python/pip、Java/Maven/Gradle、Go/modules 等常见依赖形态。
- 漏洞数据源：对接 CVE 数据库，针对已知漏洞做检测。
- 处置建议：在发现问题时提供升级建议。
- 输出：生成安全评估报告，便于留存或纳入评审。
安装与启用¶
SkillHub 推荐通过官方安装说明安装本 Skill。先确认本机是否已有 skillhub CLI：
command -v skillhub && skillhub --version
若未安装，可按 SkillHub 文档执行完整安装（CLI + 默认 Skill）：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash
仅安装 CLI 时：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash -s -- --cli-only
安装 Skill 时必须用 --dir 指向当前 Agent 的 skills 目录，否则默认落在 ./skills/，Agent 可能无法加载。官方页面给出的安装提示为：参照 https://skillhub.cn/install/skillhub.md，安装 @user_8509461a/dependency-scanner。
示例（将 <skills 目录> 换成你当前环境的路径）：
skillhub install user_8509461a/dependency-scanner --dir <skills 目录>
常见 Agent 的 skills 目录（来自 SkillHub 安装文档）：
| 环境 | skills 目录 |
|---|---|
| Cursor | ~/.cursor/skills/ |
| Claude Code | ~/.claude/skills/ |
| Codex | ~/.codex/skills/ 或项目下的 .agents/skills/ |
安装后按你所用 Client 的要求重启或刷新，使 Skill 被识别。Cursor、Codex CLI、Claude Code 的差异主要体现在 skills 目录路径；安装命令本身均为 skillhub install … --dir …。
典型用法¶
公开页面未附带逐条复制的对话模板或 CLI 子命令。在按上一节完成安装并启用后，可在 Agent 对话中说明要对当前工作区项目做依赖安全扫描，并点明技术栈（例如 npm、pip、Maven 等），由 Skill 引导完成 CVE 比对、升级建议与报告生成。
可复现的安装侧操作即：安装 CLI → skillhub install user_8509461a/dependency-scanner --dir <对应 Agent 的 skills 目录> → 在项目中通过自然语言发起扫描需求。具体扫描步骤与报告格式以 Skill 包内 SKILL.md 及运行时行为为准；本文不编造未在官方简介中出现的命令或配置项。
适用场景与注意¶
适合谁
- 需要在发版或 Code Review 前快速看一眼依赖风险的开发 / 运维同学。
- 多语言仓库或单体里混用 npm、pip、Java、Go 等，希望用同一套 Agent 工作流覆盖的场景。
注意
- 本 Skill 为 community 来源，能力边界以简介为准；严重合规场景仍建议与企业内批准的 SCA 工具链交叉验证。
- SkillHub 统计（截至页面元数据）：评分 100000，下载 737，安装 7；社区热度与真实覆盖范围无必然对应，宜在自有项目上试跑后再纳入流程。
- 无需 API Key 仅表示 SkillHub 标签如此标注；若 Skill 运行时需要访问外网 CVE 源，仍受本机网络与沙箱策略限制。
结尾¶
「依赖安全扫描」把多生态依赖与 CVE 检测收敛到 Agent Skill，适合作为日常仓库里的轻量安全自检入口。安装与坐标以 SkillHub 为准：
https://www.skillhub.cn/skills/user_8509461a/dependency-scanner
