用途：在 CI/CD 流水线中对开源依赖做软件成分分析（SCA），发现已知漏洞与许可证合规风险，并支持自动修复。适用于使用开源包、需满足 PCI DSS/SOC 2 等合规、需要自动修复 PR 或持续监控新披露漏洞的场景。不适用于扫描自研代码逻辑漏洞（用 SAST）、运行时漏洞检测（用 DAST）或仅扫描容器 OS 包（可用 Trivy）。
主要能力：Snyk Open Source 支持 10 多种语言生态的依赖扫描；Snyk CLI 可在本地与 CI/CD 中扫描；Snyk Monitor 持续监控已部署项目；可生成自动修复 PR；支持许可证策略（批准/限制/待审）；可输出 JSON、SARIF 与 HTML 报告。
使用方式：先安装并认证 CLI：npm install -g snyk，然后 snyk auth $SNYK_TOKEN。在 GitHub Actions 中可用 snyk/actions/node@master，设置 SNYK_TOKEN，参数如 --severity-threshold=high、--fail-on=upgradable、--json-file-output=snyk-results.json，并用 command: monitor 上传结果。多语言示例：snyk test --file=requirements.txt、--file=pom.xml、--file=go.mod、snyk container test myapp:latest、snyk test --all-projects、snyk iac test terraform/。可用 .snyk 策略文件配置 ignore（含 reason、expires）与 failOnSeverity。自动修复：snyk fix --dry-run 预览，snyk fix 应用；也可在 Snyk 控制台启用自动修复 PR。许可证检查：snyk test --json | jq '.licensesPolicy'。
限制与注意：需 Snyk 账号与 SNYK_TOKEN；免费层每月开源测试上限 200 次；需项目含受支持的清单文件。忽略传递依赖漏洞有风险；版本覆盖可能破坏 API 兼容性。资料未提供具体价格、平台覆盖范围与效果数据。