Snyk：开发者优先的安全工具

bash npm install -g snyk

**认证**
```bash
snyk auth

浏览器会自动打开，完成登录认证后回到终端。

测试开源依赖漏洞 在你的项目根目录执行：

snyk test

CLI 会读取项目依赖文件，对比 Snyk 漏洞数据库，输出存在漏洞的依赖包、严重程度、修复版本等信息。

测试代码安全（SAST）

snyk code test

此命令将扫描当前目录下的源代码，寻找硬编码密钥、SQL 注入、跨站脚本等安全隐患。

监控项目并持续检测新漏洞

snyk monitor

该命令会将当前项目的依赖快照推送到 Snyk 平台进行持续监控。一旦有新漏洞被披露，你将收到通知。

解读扫描结果与修复建议

Snyk 报表不仅列出问题，更关注“如何修复”。以开源漏洞为例，一条典型的结果包含：

• Issue：Prototype Pollution in lodash
• Severity：High
• Introduced through：my-app@1.0.0 › lodash@4.17.15
• Fixed in：lodash@4.17.21

修复路径非常清晰：

1. 自动修复 PR：在 Snyk Web 界面上，对可修复的漏洞，点击 Fix this vulnerability 按钮，选择 Open a fix PR。Snyk 会自动创建 PR 升级依赖到安全版本。
2. 本地手动修复：根据 CLI 输出或报告，手动执行 npm install lodash@4.17.21 等升级命令。
3. 无修复版本时的缓解：Snyk 会提供优先建议（如分叉、打补丁），并持续跟踪该漏洞的修复状态。

将 Snyk 集成到 CI/CD 流水线

Snyk 的真正威力在于自动化。你可以将 snyk test 命令嵌入持续集成流程，阻止含有高危漏洞的代码合并或部署。

以 GitHub Actions 为例：

name: Snyk Security Scan
on: push
jobs:
  snyk:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Run Snyk to check for vulnerabilities
        uses: snyk/actions/node@master
        env:
          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
        with:
          command: test