依赖安全审计（Dependency Security Audit）
概述
现代软件中 80% 以上的代码来自第三方依赖。一个存在漏洞的依赖包可能危及整个系统。依赖安全审计是一套系统化的方法，用于管理供应链安全风险。
为什么重要
- 供应链攻击（Supply Chain Attack）逐年增长，已成为主要攻击向量
- 单个恶意包可窃取环境变量、注入后门、加密货币挖矿
- 传递依赖（Transitive Dependency）使风险难以直观发现
五步审计工作流
- 盘点（Inventory） -- 生成完整的依赖清单及版本信息
- 扫描（Scan） -- 使用自动化工具检测已知漏洞
- 评估（Evaluate） -- 判断漏洞严重性和影响范围
- 修复（Remediate） -- 升级、替换或添加缓解措施
- 监控（Monitor） -- 持续监控新披露的漏洞
审计工具对照表
| 工具 | 生态系统 | 类型 | 特点 |
|---|---|---|---|
npm audit |
Node.js | 内置 | 开箱即用，零配置 |
pip-audit |
Python | 官方 | 基于 OSV 漏洞数据库 |
cargo audit |
Rust | 社区 | 基于 RustSec 数据库 |
| Dependabot | 多语言 | GitHub 内置 | 自动创建升级 PR |
| Snyk | 多语言 | 商业/免费层 | 深度分析，修复建议 |
| Socket.dev | Node.js/Python | 商业/免费层 | 行为分析，检测恶意包 |
锁文件（Lock File）管理
锁文件确保所有环境安装完全相同的依赖版本，是供应链安全的基石。
| 包管理器 | 锁文件 | 注意事项 |
|---|---|---|
| npm | package-lock.json |
必须提交到版本库 |
| yarn | yarn.lock |
必须提交到版本库 |
| pnpm | pnpm-lock.yaml |
必须提交到版本库 |
| pip | requirements.txt + hash |
使用 pip freeze 生成精确版本 |
| cargo | Cargo.lock |
应用项目必须提交，库项目不提交 |
误植攻击（Typosquatting）防御
攻击者注册与热门包名称相似的恶意包，利用开发者拼写错误进行攻击。
预防措施：
- 安装前仔细核对包名拼写
- 检查包的发布者、下载量和仓库链接
- 使用 Socket.dev 等工具检测异常行为的包
- 在 CI 中设置允许的依赖白名单
开源许可证合规
| 许可证类型 | 商业使用 | 注意事项 |
|---|---|---|
| MIT / BSD / Apache 2.0 | 宽松 | 保留版权声明即可 |
| LGPL | 允许 | 动态链接无限制，静态链接需开源 |
| GPL | 受限 | 衍生作品必须开源 |
| AGPL | 严格受限 | 网络服务也算分发，必须开源 |
自动化监控配置
Dependabot 配置示例（.github/dependabot.yml）：
version: 2
updates:
- package-ecosystem: "npm"
directory: "/"
schedule:
interval: "weekly"
open-pull-requests-limit: 10
CI 审计任务： 在 CI 流水线中添加 npm audit --audit-level=high，高危漏洞时阻断构建。
必须做 / 禁止做
必须做：
- 锁定依赖版本，提交锁文件
- 部署前运行依赖审计
- PR 中审查新增依赖的必要性和安全性
- 定期更新依赖，不累积技术债
禁止做：
- 忽略审计工具报告的警告
- 在生产环境使用未锁定版本（如
^1.0.0） - 不审查就引入新依赖
- 使用长期未维护的包（最后更新超过 2 年）