怎样用脚本自动修复依赖漏洞？

本文目录导读：

1. 通用思路（适用于任何语言）
2. 各语言具体脚本示例
3. 进阶方案：CI/CD 集成脚本
4. 容器镜像依赖修复
5. 重要安全提醒

自动修复依赖漏洞通常涉及扫描项目依赖、识别漏洞版本、更新到安全版本三个核心步骤，不同语言和包管理器有不同的工具和方法，以下是一些主流方案及脚本示例。

通用思路（适用于任何语言）

基本脚本逻辑：

1. 进入项目目录
2. 运行安全扫描工具（如 npm audit, pip audit, trivy 等）
3. 解析扫描结果,提取需要更新的包名和版本
4. 使用包管理器更新到安全版本
5. 可选：提交变更

各语言具体脚本示例

JavaScript/Node.js (npm)

使用 npm audit fix

#!/bin/bash
# npm-vuln-fix.sh
# 自动修复 npm 依赖漏洞（非破坏性更新）
set -e
cd /path/to/your/project
echo "=== 扫描 & 自动修复漏洞 ==="
npm audit fix --audit-level=high
echo "=== 生成报告 ==="
npm audit --json > npm-audit-report.json 2>&1 || true
echo "=== 升级后的 lock 文件 ==="
git diff package-lock.json || echo "无变化"

使用 npm-check-updates 升级所有包（谨慎使用）

// fix-deps.js
const { execSync } = require('child_process');
const fs = require('fs');
// 1. 检查漏洞
const auditResult = execSync('npm audit --json', { encoding: 'utf-8' });
const auditData = JSON.parse(auditResult);
if (auditData.vulnerabilities) {
  const vulnerablePkgs = Object.keys(auditData.vulnerabilities);
  console.log(`发现 ${vulnerablePkgs.length} 个漏洞包`);
  // 2. 逐个更新（安全方式）
  vulnerablePkgs.forEach(pkg => {
    console.log(`更新 ${pkg}...`);
    execSync(`npm install ${pkg}@latest --save`, { stdio: 'inherit' });
  });
}

Python (pip)

# fix-pip-vulns.py
import subprocess
import json
import sys
def get_vulnerable_packages():
    """调用 pip-audit 获取漏洞列表"""
    result = subprocess.run(
        ['pip-audit', '--format', 'json'],
        capture_output=True,
        text=True
    )
    if result.returncode != 0:
        print("未安装 pip-audit，正在安装...")
        subprocess.run(['pip', 'install', 'pip-audit'])
        result = subprocess.run(
            ['pip-audit', '--format', 'json'],
            capture_output=True,
            text=True
        )
    try:
        data = json.loads(result.stdout)
        return data.get('vulnerabilities', [])
    except:
        return []
def fix_vulnerabilities(vulns):
    """升级有漏洞的包"""
    for vuln in vulns:
        pkg = vuln.get('name')
        if pkg:
            print(f"升级 {pkg}...")
            subprocess.run(['pip', 'install', '--upgrade', pkg])
if __name__ == '__main__':
    print("=== 扫描 Python 依赖漏洞 ===")
    vulns = get_vulnerable_packages()
    if vulns:
        print(f"发现 {len(vulns)} 个漏洞")
        fix_vulnerabilities(vulns)
        print("更新完成")
    else:
        print("未发现漏洞")

Java (Maven)

#!/bin/bash
# maven-fix.sh
# 使用 OWASP Dependency-Check 和 Maven versions plugin
echo "=== 检查漏洞 ==="
mvn org.owasp:dependency-check-maven:check
echo "=== 生成报告 ==="
mvn org.owasp:dependency-check-maven:aggregate
echo "=== 更新到最新版本 (建议手动审核) ==="
# 查看可用的版本更新
mvn versions:display-dependency-updates
# 自动更新（谨慎使用）
mvn versions:use-latest-releases -DallowMajorUpdates=false

Go (Go modules)

#!/bin/bash
# go-fix-vulns.sh
echo "=== 使用 govulncheck 扫描 ==="
go install golang.org/x/vuln/cmd/govulncheck@latest
echo "=== 扫描 Go 模块漏洞 ==="
govulncheck ./...
echo "=== 自动更新依赖 ==="
go get -u ./...
echo "=== 清理 && 校验 ==="
go mod tidy
go mod verify

进阶方案：CI/CD 集成脚本

# .github/workflows/dependency-fix.yml
name: Auto Fix Dependencies
on:
  schedule:
    - cron: '0 2 * * 1'  # 每周一凌晨2点
  workflow_dispatch:      # 也支持手动触发
jobs:
  fix:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Setup Node.js
        uses: actions/setup-node@v3
        with:
          node-version: '18'
      - name: Auto fix npm vulnerabilities
        run: |
          npm audit fix --audit-level=high --force
      - name: Create Pull Request
        uses: peter-evans/create-pull-request@v5
        with:
          title: 'chore: auto fix dependency vulnerabilities'
          body: |
            ## 依赖漏洞自动修复
            基于 `npm audit fix` 自动执行
            请审查变更后合并。
          branch: auto-fix-deps
          base: main

容器镜像依赖修复

# fix-container-deps.py
import subprocess
import sys
def fix_docker_image(image_name):
    """使用 Trivy 扫描并修复容器镜像"""
    # 1. 扫描
    print(f"扫描镜像: {image_name}")
    subprocess.run([
        'trivy', 'image', '--format', 'json', 
        '--output', 'vuln-report.json', image_name
    ])
    # 2. 修复建议（通常需要重建镜像）
    print("\n安全修复建议：")
    print("1. 更新基础镜像: docker pull base-image:latest")
    print("2. 在 Dockerfile 中使用特定版本号而非 latest")
    print("3. 使用多阶段构建减少攻击面")
    print("4. 重新构建并推送镜像")
if __name__ == '__main__':
    if len(sys.argv) > 1:
        fix_docker_image(sys.argv[1])
    else:
        print("用法: python fix-container-deps.py <image-name>")

重要安全提醒

• 不要盲目更新：自动更新可能引入破坏性变更（Breaking Changes）
• 建议策略：
  • 先使用 --dry-run 或 --audit-level=high 限制影响范围
  • 包含回退机制（如自动创建 Git 分支）
  • 在 CI 流程中增加自动化测试步骤
• 生产环境：建议人工审核 Pull Request 后再合并

建议根据项目风险承受能力选择合适的自动修复策略,对于关键性项目，推荐使用 「自动扫描 + 自动创建PR + 人工审核」 的半自动化方案。