软件供应链安全审计技能 是做什么的？
🛡️ 一款软件供应链扫描器 | 根据SLSA和OWASP标准审计依赖、出处和CI/CD管道，防止恶意利用。📦
概述
本技能自动化软件供应链安全审计，识别实时威胁并确保合规性。它检查：
- 依赖扫描：从
package-lock.json、requirements.txt、go.sum等文件分析已知漏洞。 - 出处验证：根据SLSA级别验证构建工件的出处。
- CI/CD审计：检查管道配置中的安全漏洞（例如硬编码密钥、过时的操作）。
支持的平台
- GitHub Actions
- GitLab CI
- Jenkins
- 本地命令行
使用方法
- 克隆此仓库：
git clone https://github.com/dungnotnull/software-supply-chain-security-agent-skill.git - 安装依赖：
pip install -r requirements.txt - 设置环境变量（可选）：
SLACK_WEBHOOK_URL：发送通知到Slack。GITHUB_TOKEN：访问私有仓库。
- 运行扫描：
python scan.py --path /path/to/project
配置
编辑 config.yaml 以启用/禁用检查：
checks:
dependencies: true
provenance: true
ci_cd: true
slsa_level: 2
owasp_threshold: medium
输出
扫描生成一个JSON报告，包含：
- 发现的漏洞数量（按严重性分类）
- 合规状态（通过/失败）
- 建议的操作
贡献
欢迎提交拉取请求。对于重大更改，请先打开一个Issue讨论您想要更改的内容。