技能 · 编程
GitHub 安全公告：依赖漏洞先看可利用性
看到 dependabot/security advisory 先判断依赖是否实际使用、是否可达、是否有修复版本，再排优先级。
适用边界：适合 Node/Python/Go 依赖；公告不等于可利用，但不能忽略。
怎么做
- 确认漏洞包/版本范围是否在当前依赖树。
- 判断代码路径是否实际调用受影响功能。
- 看修复版本/缓解措施/是否有 breaking change。
- 排优先级：可利用/仅开发依赖/无路径，记录结论。
交付前检查
- 依赖树确认受影响版本。
- 可达性/使用方式有结论。
- 修复/缓解/回滚步骤明确。
可复制提示词
你是依赖安全评审。输入：【公告】=____；【依赖树】=____；【使用方式】=____。请输出：是否受影响/可达性/严重度/修复版本/缓解/回滚/待确认。不要制造恐慌，也不要把“有公告”直接等同“可利用”。
相关工具
配套模板
同类技能
JSON 转 TypeScript 类型：先定可选字段
把接口返回的 JSON 样本转成 TypeScript 类型，先判断哪些字段真的可选，避免把所有字段都标成 any 或者全加问号。
查看 →正则编写：先写测试串再写表达式
先写一批应该匹配和不该匹配的样本串，再写正则，逐条跑通才收工，避免表达式只在作者想到的那一种格式上正确。
查看 →SQL 慢查询定位：先看执行计划再改索引
先看执行计划和扫描行数，再判断是缺索引、索引失效还是写法导致全表扫描，改完用同一语句复测耗时。
查看 →更新时间：2026-10-29 · 步骤是通用做法，平台/客户规则以实际页面为准；不承诺排名、过稿或收益。
跨库学习路径
按共同关键词匹配，不是随机推荐；从任务到提示词/教程/项目继续走。