security-analyzer

用途：对项目环境做安全漏洞分析，覆盖依赖、容器与云 IaC，并输出分阶段修复方案。

主要能力：

1. 环境发现：扫描 package.json、requirements.txt、Gemfile、go.mod、Cargo.toml、pom.xml，Dockerfile、docker-compose.yml、kubernetes/.yaml，terraform/.tf、cloudformation/.yaml、.bicep，以及 .env*（仅标记暴露风险，不记录值）。
2. 漏洞情报：脚本结合 OSV.dev API，并可配合 WebSearch 查询 CISA KEV、NVD、GitHub Advisories，优先级依次为 CISA KEV、NVD、GitHub Advisories、OSV.dev。
3. 风险评分：Risk = (CVSS * 0.3) + (Exploitability * 0.3) + (Criticality * 0.2) + (Exposure * 0.2)。
4. 分阶段修复与 TDD 验证：每个发现包含漏洞详情与评分、实际修复代码/补丁、修复前测试、修复单元测试、修复后验证。
5. 报告：输出 security-report-technical.md（工程师）与 security-report-executive.md（管理层）。

使用方式（命令保持原样）：

1. python .claude/skills/security-analyzer/scripts/discover_env.py /path/to/project > inventory.json
2. python .claude/skills/security-analyzer/scripts/fetch_vulns.py inventory.json > scan_results.json
3. python .claude/skills/security-analyzer/scripts/generate_report.py scan_results.json inventory.json 修复类型按发现给出：依赖 CVE 给版本升级命令与锁文件更新；容器问题给 Dockerfile 补丁；IaC 错误配置给 Terraform/K8s 修复；代码漏洞给源码补丁与测试；密钥暴露给轮换命令与 .gitignore 更新。

适用场景：需要自查依赖漏洞、容器与 IaC 配置问题、密钥暴露风险并生成可验证修复流程的项目。

限制：资料未提供支持规模、扫描耗时、误报率与具体平台兼容性；实际漏洞数据源可用性、评分权重是否可调、报告模板细节需以仓库 references/report-templates.md 为准，暂未提供更多说明。