Snyk 漏洞扫描器

使用 Snyk 对 GitHub 仓库执行自动化安全漏洞扫描与修复。

功能说明

1. 扫描：使用 Snyk 扫描仓库中的安全漏洞
2. 报告：将扫描结果以 GitHub Issue 形式提交（按软件包分组）
3. 自动修复：应用 Snyk 补丁并创建 Pull Request 完成修复

前提条件

使用本技能前，请确保满足以下条件：

1. Snyk CLI 已安装：npm install -g snyk，并已完成认证：snyk auth
2. GitHub CLI 已安装：brew install gh，并已完成认证：gh auth login
3. jq 已安装：brew install jq（用于 JSON 数据处理）
4. 您对目标仓库具有 写入权限

工作流

扫描仓库 → 创建 GitHub Issue → 自动修复 → 创建 PR

严重性等级

• critical — 仅扫描严重性为 critical 的漏洞
• high — 扫描 high 及以上严重性的漏洞（默认值）
• medium — 扫描 medium 及以上严重性的漏洞
• low — 扫描所有严重性等级的漏洞

使用方法

完整自动化工作流

运行完整的扫描 → 报告 → 修复流程：

./scripts/run-full-workflow.sh  [base-branch] [severity] [skip-issues] [skip-fix] [dry-run]

参数说明：

• repo-url — 完整的 GitHub URL（必填）
• base-branch — PR 的目标分支（默认为 dev）
• severity — 逗号分隔的严重性等级（默认为 high,critical）
• skip-issues — 设为 true 则跳过 GitHub Issue 创建（默认为 false）
• skip-fix — 设为 true 则跳过自动修复（默认为 false）
• dry-run — 设为 true 则模拟执行，不实际修改任何内容（默认为 false）

示例：

# 使用默认参数执行完整工作流
./scripts/run-full-workflow.sh https://github.com/owner/repo

# 仅扫描，跳过修复步骤
./scripts/run-full-workflow.sh https://github.com/owner/repo dev high false true false

# Dry run：执行全部步骤但不产生实际变更
./scripts/run-full-workflow.sh https://github.com/owner/repo dev high,critical false false true

# 仅执行修复（跳过 Issue 创建），目标分支为 main
./scripts/run-full-workflow.sh https://github.com/owner/repo main high true false false

分步使用指南

1. 仅执行扫描

./scripts/snyk-scan.sh  [output-file] [severity-filter]

生成包含漏洞详细信息的 JSON 文件。

示例：

./scripts/snyk-scan.sh https://github.com/owner/repo results.json high,critical

2. 创建 GitHub Issue

python3 scripts/create-github-issues.py  

为每个存在漏洞的软件包创建一个 GitHub Issue，并将该软件包涉及的所有 CVE 合并在同一 Issue 中。

3. 自动修复并创建 PR

./scripts/snyk-auto-fix.sh  [base-branch] [dry-run]

应用 Snyk 提供的修复方案，并向指定分支提交 Pull Request。

示例：

./scripts/snyk-auto-fix.sh https://github.com/owner/repo dev false

支持的包管理器

• npm/yarn（package.json）
• Python（requirements.txt、Pipfile、pyproject.toml）
• Gradle（build.gradle）
• Maven（pom.xml）

GitHub Issue 规范

创建的 Issue 包含以下内容：

• 标签：security、vulnerability、snyk
• 标题中包含软件包名称及对应严重性等级
• 正文详细列出该软件包涉及的所有 CVE
• 附带指向 Snyk 页面的链接以获取更多信息
• 标明是否支持自动修复

防重复机制：若同一软件包已存在相似 Issue，则不会重复创建。

Pull Request 规范

生成的 PR 包含以下内容：

• 分支名：snyk-fix-
• 正文包含修复摘要、已更改文件列表以及剩余未修复漏洞说明
• 标签：security、dependencies、snyk
• 目标分支：dev 分支（可配置）

Cron / 自动化定时执行

如需定期执行扫描，可通过系统 cron 调用本技能：

# 添加至 cron，每天上午 9 点执行扫描
0 9 * * * cd ~/.openclaw/workspace/skills/snyk-vulnerability-scanner && ./scripts/run-full-workflow.sh https://github.com/owner/repo

或通过 OpenClaw 内置 cron 实现直接集成：

{
  "name": "snyk-daily-scan",
  "schedule": { "kind": "cron", "expr": "0 9 * * *" },
  "payload": {
    "kind": "agentTurn",
    "message": "Run Snyk vulnerability scan on https://github.com/owner/repo and create fixes for dev branch"
  }
}

脚本参考

故障排查

“Snyk 未认证”
→ 执行：snyk auth

“GitHub CLI 未认证”
→ 执行：gh auth login

“未发现漏洞”
→ 登录 Snyk 控制台查看项目状态；可能需要先手动导入仓库

脚本执行时报 “Permission denied”
→ 执行：chmod +x scripts/*.sh

自动修复失败
→ 部分漏洞不支持自动修复；请查阅 Snyk 控制台提供的修复建议

Dry run 显示有变更，但实际运行无效果
→ 检查 Snyk 是否为对应漏洞提供了可应用的修复建议；部分漏洞需手动更新依赖版本