用途：审计项目依赖与 CI/CD 配置，检测并修复软件供应链攻击，适用于部署前检查、调查疑似入侵、响应新披露的供应链攻击，以及日常安全加固。
主要能力：内置三个扫描器与统一运行器，分别针对 npm/Node.js、Python/PyPI 和 CI/CD。检查项包括已知被入侵包、含恶意代码的特定版本、攻击者留下的文件系统持久化机制、源码中的 C2 域名与 IP、CI/CD 配置错误（未固定版本的 action、危险触发器、泄露的密钥）以及凭据暴露（npm token、PyPI 凭据、.env 文件）。结果按 [CRITICAL] 与 [WARNING] 分级，扫描器退出码为发现的问题数量，0 表示干净。
使用方式：先识别项目类型（package.json、requirements.txt、Cargo.toml、.github/workflows 等），再运行扫描。完整审计：bash /path/to/supply-chain-guard/scripts/scan-all.sh /path/to/project；单独扫描：bash /path/to/supply-chain-guard/scripts/scan-npm.sh /path/to/project、scan-python.sh、scan-ci.sh。根据结果修复：移除或降级被入侵包、清理缓存（npm cache clean --force / pip cache purge）、删除 node_modules 或 .venv 后按锁文件重装、轮换所有可访问凭据；发现文件系统 IOC 时视为系统已完全失陷，需清除持久化机制、轮换全部凭据、审计云日志并考虑重装系统；CI/CD 问题则固定 action 到完整 commit SHA、为 npm 加 --ignore-scripts、为 pip 加 --require-hashes、移除 pull_request_target 触发器并应用最小权限。
加固建议：锁定精确版本并提交锁文件、使用 npm ci 与哈希校验、默认禁用安装脚本、固定 GitHub Actions 到 SHA、限制 CI/CD token 权限、设置自动化依赖扫描（注意扫描器自身也可能被入侵）、在防火墙屏蔽已知 C2 域名/IP、每次部署前运行扫描。
限制：资料未提供该技能的安装方式、收费模式、支持平台与效果保证；IOC 数据库截至 2026-03-31，需按新披露攻击手动更新 references/ioc-database.md 与扫描脚本中的 MALICIOUS_* 数组。