用途：让 Claude 端到端评估并加固软件供应链，关注项目依赖什么、依赖如何进入、如何构建，以及下游如何信任结果。它与漏洞扫描技能互补：后者判断版本是否已知存在漏洞，本技能判断依赖、构建或流水线本身是否可信。
主要能力：
- SBOM 生成与分析：识别项目生态，用 syft、cyclonedx-py 等生成 CycloneDX 或 SPDX 清单，或从锁文件手工整理组件；记录名称、版本、PURL、许可证与已知漏洞，标记无源码仓库、首次发布极新却下载量异常、许可证与项目策略冲突的组件。
- 依赖混淆与仿冒检测：对包名做编辑距离、连字符增减、分隔符替换、同形字比对；检查内部包是否已加作用域或私有源固定；核对注册表存在性与维护者变更等元数据。
- 恶意包迹象：按严重度排查生命周期脚本（preinstall/install/postinstall/prepare）拉取执行远程代码、读取 NPM_TOKEN/GITHUB_TOKEN 等凭据、混淆代码、外联原始 IP 或陌生域名、补丁级版本却改动依赖或新增脚本。
- CI/CD 加固：检查第三方 Action 是否固定到完整 commit SHA、是否声明顶层 permissions、pull_request_target 是否与检出 PR 头并执行代码组合、密钥作用域、自托管 runner 风险；通用检查包括临时可复现构建环境、构建时使用锁文件、发布凭据需 MFA 或短期令牌、分支保护、发布步骤独立可审计。
- 制品来源与签名：评估 SLSA 构建等级，推荐 Sigstore/cosign 无密钥签名与验证、in-toto 分步证明、npm publish --provenance。
- 第三方组件风险：检查维护活跃度、维护者数量、许可证兼容性与传递依赖规模。
使用方式：前置安装 pip install pyyaml requests；可选 syft、cyclonedx-py、cdxgen、grype、osv-scanner、cosign、slsa-verifier、scorecard。可运行 python scripts/supply_chain_auditor.py --project-dir . --output audit.json，加 --check-registry 联网核对注册表。脚本覆盖 package.json、requirements.txt、Cargo.toml、go.mod 及 .github/workflows/。
适用场景：新增依赖尽调、SBOM 与 VEX 联合视图、CI/CD 审查、制品签名与来源证明、上游包被投毒或维护者账号被接管的事件排查。
限制：脚本结果为启发式近似命中与配置缺口，不构成入侵证据，标记的包须人工核实；部分能力依赖外部工具与网络；具体收费、平台支持与效果资料未提供。