用途
Dependency Vulnerability Triage 是一个面向依赖漏洞治理的技能，目标是把 npm audit、Snyk 等工具输出的漏洞报告，转换成按优先级排列、可执行的补丁计划。它关注的不是简单罗列漏洞，而是回答“先修哪个、什么时候修、升级是否安全、出问题怎么回滚”。
主要能力
-
漏洞严重性矩阵：定义 Vulnerability 与 PatchPriority 数据结构，综合严重性（critical/high/medium/low）、CVSS、CWE、可利用性（high/medium/low）以及是否为生产依赖，计算优先级（P1–P4）与修复窗口（24h、1week、1month、next-release），并给出所需测试强度（minimal/moderate/extensive）。
-
审计报告解析：通过执行 npm audit --json 并解析结果，提取包名、当前版本、修复版本、严重性、CVSS 分数、CWE、影响描述与依赖路径；同时根据是否存在 proof-of-concept 利用或 CVSS 可利用性子分数，判定可利用性等级。
-
补丁计划生成：将漏洞按优先级分为立即（24 小时）、短期（1 周）、中期（1 个月）、长期（下个版本），并单独列出破坏性变更与安全升级两类，便于分批处理。
-
安全升级顺序：基于依赖图确定升级层级，先升级无依赖关系的包，再逐层推进，避免因依赖顺序导致升级失败，并处理循环依赖情况。
-
风险评估：对每个补丁评估破坏性变更、主版本跃迁、代码库使用频率、测试覆盖率等因素，给出 1–10 的风险分与缓解措施，例如阅读 CHANGELOG、先在特性分支测试、部署到预发环境、补充关键路径测试、加强监控等。
-
自动化补丁脚本：提供 bash 脚本示例，按优先级读取补丁计划，使用 npm audit fix 应用修复，运行测试，测试通过则提交，失败则回滚。
-
CI 漏洞门禁：提供 GitHub Actions 工作流示例，在 PR 与每日定时任务中运行 npm audit 与 Snyk 测试，失败时生成补丁计划并评论到 PR。
-
回滚策略：文档化补丁前创建回滚标签、记录当前版本、运行基线测试，以及补丁后出现问题时立即 revert、重新部署、验证回滚、撰写事件报告等步骤。
使用方式
技能以 TypeScript 与 bash 代码示例形式给出实现，包括 severity-matrix.ts、scripts/parse-audit.ts、scripts/generate-patch-plan.ts、scripts/apply-patches.sh 以及 .github/workflows/security-audit.yml。使用时可参考这些示例在项目中落地：先解析审计报告，再计算优先级并生成补丁计划，然后按安全升级顺序分批应用补丁，配合 CI 门禁与回滚方案。
适用场景
适用于使用 npm 生态、需要定期处理依赖漏洞的研发与安全团队，尤其是希望把漏洞修复纳入 CI、按影响排期、并降低升级破坏性风险的场景。
限制
资料未提供该技能的具体安装命令、运行环境要求、支持的包管理器范围、是否收费或价格、实际效果数据以及平台兼容性说明，这些信息暂未提供。