用途
该技能扮演 Node.js 仓库的安全审计员，围绕 Node.js 2026 年 10 月安全版本（发布于 2026-10-21）评估仓库是否受影响、暴露面在哪里，并在需要时完成修复与提交 PR 的流程。修复版本为 22.23.4、24.22.1、26.12.1；Node 20 及更早版本已 EOL，不会收到修复。
漏洞背景
最严重的是 CVE-2026-111497（高危）：Brotli 解码器越界写入，可导致 RCE。其他高危项包括 CVE-2026-105483、CVE-2026-106069（TLS 主机名绕过）和 CVE-2026-105482（dns.resolve 使用 NUL）。中危项为 CVE-2026-105481、CVE-2026-106072、CVE-2026-106074（快照与 SEA 中 randomUUID/randomInt 的重复熵）。该版本还更新了 c-ares、OpenSSL、Undici、SQLite 和 CA 证书。
主要阶段
阶段一：盘点（只读）。 查找仓库中所有 Node 版本声明位置，包括 .nvmrc、.node-version、.tool-versions、package.json 的 volta 与 engines.node、Dockerfile 与 docker-compose、GitHub Actions/GitLab CI/Jenkins/Azure Pipelines、.devcontainer、vercel.json、netlify.toml、serverless.yml、SAM template.yaml、app.yaml、Procfile，以及 Terraform/CDK/Pulumi 中的 runtime nodejsXX.x。识别包管理器（npm/yarn/pnpm/bun）与 monorepo 工作区，并列出已有安全检查（Dependabot/Renovate、CodeQL、npm audit/audit-ci、Snyk、Trivy/Grype、OSV-Scanner、密钥扫描、SECURITY.md）。
阶段二：分析。 对每处 Node 声明给出当前版本、是否受影响、目标版本（同版本线的修复版；若为 20 及更早则迁移到 22.x/24.x）。检查代码中的暴露面：zlib.createBrotliDecompress、brotliDecompress(Sync)、br 解压；会解压请求体的中间件（body-parser inflate、Content-Encoding: br、代理）；自动解压第三方响应的 fetch/undici/axios/got/node-fetch；自托管 Next.js 的图片优化或代理；以 IP 作为 host 的 TLS（tls.connect、https.request 的 servername/IP、自定义 checkServerIdentity）；接收外部输入的 dns.resolve*；--build-snapshot 或 SEA 中的 crypto.randomUUID()/randomInt()；Permission Model。在不全局安装的前提下运行 npm audit（或 yarn/pnpm audit），可用时运行 npx osv-scanner，并检查 undici 的直接与传递依赖。
阶段三：报告（修改前）。 输出三张表：声明位置/内容/当前版本/是否受影响/目标版本/变更风险；暴露面（文件:行、模式、风险说明）；审计与已有检查结果（CVE/GHSA、包、严重度、修复）。
阶段四：修复（仅当受影响）。 在 security/node-oct-2026 分支上，把各声明更新为精确修复版（22.23.4 / 24.22.1 / 26.12.1），Docker 镜像固定到相同标签（如 node:22.23.4-alpine），使用 digest 时同步更新；Node ≤20 则迁移到 22.x/24.x 并更新 engines 与 CI，同时在 PR 中说明兼容风险；undici 为直接依赖时更新，传递漏洞用 overrides/resolutions/pnpm.overrides；用相同包管理器重新生成 lockfile；执行干净安装、构建、测试、lint 和仓库安全检查。若仓库缺少自动化安全检查，在同一 PR 中以独立提交建议加入 dependabot.yml（npm、docker、github-actions）、CI 中的 npm audit --audit-level=high 步骤，以及存在 Dockerfile 时的 Trivy 扫描。PR 标题为「security: update Node.js for the October 2026 security release」，描述中附阶段三表格、变更、测试与检查结果、风险与人工操作。若无受影响项，不建 PR，仅返回报告。
阶段五：人工操作（始终附于 PR 或报告）。 生成适配发现的检查清单，至少覆盖：合并后重建并重新部署所有镜像/服务；各环境核实 process.version 为修复版本；检查仓库外配置的运行时（Vercel/Netlify 面板、Lambda/Cloud Functions/Cloud Run/App Service、PaaS）；更新自有服务器/VM、自托管 CI runner 与开发机（nvm/volta/fnm）；检查其他仓库或内部镜像仓库的共享基础镜像；Vercel 上使用 20.x 的切换到 22.x/24.x 并重新部署；排查 2026-10-21 及之前 Content-Encoding: br 的可疑请求日志/WAF；后端位于 CDN/WAF 后时限制直连；使用快照/SEA 与 randomUUID 的重新生成二进制并评估 ID/token 可预测性；列出无法验证的环境并指定负责人。
约束
除缓解漏洞外不改业务逻辑（如改需说明理由）；不推送 main、不合并、不部署；不删除或禁用已有检查。
适用场景与限制
适用于需要按该安全版本审计并升级 Node.js 的项目仓库。限制：仅覆盖该技能描述的检查范围与流程；实际发布的漏洞信息与版本号以官方公告为准，本文档不对其真实性做额外判断；无法验证的环境需由人工确认。