AgentSkillsCN

security-vulnerability-fix

修复 npm 依赖安全漏洞的完整工作流程。当用户提到安全警告、Dependabot 警报、CVE 漏洞、npm audit 问题时，此技能将自动触发。包含漏洞查询、依赖升级、修复验证、版本发布等完整流程。通过 Dependabot 警报分析、软件包升级、构建验证，以及遵循语义化版本更新的流程，彻底修复 npm 依赖的安全漏洞。

SKILL.md
--- frontmatter
name: security-vulnerability-fix
description: 修復 npm 依賴安全漏洞的完整工作流程。當使用者提到安全警告、Dependabot alerts、CVE 漏洞、npm audit 問題時自動啟用。包含查詢漏洞、升級依賴、驗證修復、發布版本的完整流程。Fixes npm dependency security vulnerabilities with a complete workflow including Dependabot alert analysis, package upgrades, build verification, version release following semantic versioning.
metadata:
    author: singular-blockly
    version: '1.0.0'
    category: security

安全漏洞修復技能 Security Vulnerability Fix Skill

修復 npm 依賴安全漏洞的標準化工作流程。 A standardized workflow for fixing npm dependency security vulnerabilities.

適用情境 When to Use

  • •收到 Dependabot security alerts
  • •執行 npm audit 發現漏洞
  • •需要升級有 CVE 的套件
  • •發布安全修補版本 (PATCH release)

工作流程 Workflow

Phase 1: 漏洞分析 Vulnerability Analysis

  1. •

    查詢所有安全警告

    bash
    gh api repos/{owner}/{repo}/dependabot/alerts --jq '.[] | {number: .number, state: .state, severity: .security_advisory.severity, package: .security_vulnerability.package.name, summary: .security_advisory.summary}'
  2. •

    深入分析特定警告 (取得 CVE、修復版本、CVSS 分數)

    bash
    gh api repos/{owner}/{repo}/dependabot/alerts/{alert_number}
  3. •

    確認目前安裝版本

    bash
    npm ls {package_name}
  4. •

    評估風險

    • •Critical/High: 立即修復
    • •Medium: 排程修復
    • •Low: 評估是否需要

Phase 2: 版本規劃 Version Planning

  1. •

    遵循語意化版本規則：

    • •純安全修補 → PATCH (x.y.Z)
    • •含新功能 → MINOR (x.Y.0)
    • •有 breaking changes → MAJOR (X.0.0)
  2. •

    檢查修復版本是否可用

    bash
    npm view {package_name} versions --json | tail -5

Phase 3: 實施修復 Implementation

  1. •

    更新 package.json

    • •修改依賴版本
    • •更新專案版本號
  2. •

    更新 CHANGELOG.md (雙語格式)

    markdown
    ## [x.y.z] - YYYY-MM-DD

### 安全性修復 Security Fixes

-   **修復 {套件名稱} {漏洞類型} (CVE-XXXX-XXXX)** (Fix {package} {vulnerability type})
    -   升級 `{package}` 從 x.x.x 至 x.x.x
        Upgraded `{package}` from x.x.x to x.x.x
    -   嚴重程度 Severity: {severity} (CVSS: x.x)
    -   關閉 Dependabot Alert #{number}
        Closes Dependabot Alert #{number}
  3. •

    安裝並驗證

    bash
    npm install
npm run package  # 或 npm run build
npm run test
  4. •

    產生 VSIX (VS Code 擴充功能專案)

    bash
    npx @vscode/vsce package

Phase 4: 更新 SECURITY.md Maintenance

如果專案根目錄有 SECURITY.md 文件，需同步更新：

  1. •

    檢查是否有 Known Issues 區塊記錄此漏洞

    • •如有記錄「等待上游修復」的漏洞，現已修復 → 移除該區塊
    • •如果是全新漏洞且無法立即修復 → 新增到 Known Issues
  2. •

    更新 Supported Versions 區塊

    • •確保支援版本與目前發布版本一致
    • •範例：0.51.x → 0.52.x
  3. •

    更新 Last updated 日期

範例格式：

markdown
# Security Policy

## Supported Versions

| Version | Supported          |
| ------- | ------------------ |
| 0.52.x  | :white_check_mark: |
| < 0.51  | :x:                |

## Reporting a Vulnerability

Please report security vulnerabilities by opening a [GitHub Security Advisory](...).

---

_Last updated: YYYY-MM-DD_

Phase 5: 發布流程 Release Process

  1. •

    Git 提交 (遵循 Conventional Commits)

    bash
    git add package.json package-lock.json CHANGELOG.md SECURITY.md
git commit -m "chore(deps): 修復 {package} {漏洞類型} ({CVE})"
  2. •

    建立標籤

    bash
    git tag -a v{version} -m "Release v{version} - Security patch for {CVE}"
  3. •

    推送至遠端

    bash
    git push origin {branch} --follow-tags
  4. •

    建立 GitHub Release (雙語發布說明)

    bash
    gh release create v{version} --title "{Project} v{version} - 安全修補 / Security Patch" --notes-file release-notes.md {vsix_file}
  5. •

    清理暫存檔案

    bash
    rm release-notes.md *.vsix

Phase 5: 驗證修復 Verification

  1. •

    確認警告狀態

    bash
    gh api repos/{owner}/{repo}/dependabot/alerts/{number} --jq '{state: .state, fixed_at: .fixed_at}'
  2. •

    如果警告未自動關閉 (Dependabot 掃描延遲)

    • •先確認 package-lock.json 在 GitHub 上版本正確
    • •手動關閉警告：
    bash
    gh api repos/{owner}/{repo}/dependabot/alerts/{number} -X PATCH -f state="dismissed" -f dismissed_reason="fix_started" -f dismissed_comment="Upgraded to {version} in commit {sha}. See v{release_version} release."

雙語發布說明範本 Bilingual Release Notes Template

參考 release-notes-template.md 建立發布說明。

檢查清單 Checklist

  • • 查詢並分析安全警告
  • • 確認修復版本可用
  • • 更新 package.json (依賴 + 版本號)
  • • 更新 CHANGELOG.md (雙語格式)
  • • 更新 SECURITY.md (移除已修復漏洞、更新支援版本)
  • • npm install + build + test 通過
  • • 產生 VSIX (如適用)
  • • Git commit 遵循 Conventional Commits
  • • 建立版本標籤
  • • 推送至遠端
  • • 建立 GitHub Release (雙語發布說明)
  • • 驗證警告已關閉

相關工具 Related Tools

  • •gh api - GitHub CLI API 操作
  • •npm audit - 本地漏洞掃描
  • •npm ls - 查看依賴樹
  • •npx @vscode/vsce package - VS Code 擴充功能打包