目标
依赖公告需按真实暴露面分诊并在 SLA 内修复。本工作流先从公告确认受影响版本、利用条件与严重度，再判断脆弱代码路径是否真被应用使用，然后升级到修复版本或在无修复时施加补偿控制，最后重新扫描确认发现消失并记录处置。
步骤要点
- 从公告确认受影响版本、利用条件与严重度。
- 判断脆弱代码路径是否真被使用。
- 升级修复或施加补偿控制。
- 重新扫描确认并记录处置。
npm ls lodash
npm audit --json | jq '.vulnerabilities[] | select(.severity=="high")'验证
按顺序执行上述步骤后，逐项确认每个步骤的预期状态均已满足；只有全部预期状态成立，才认为本流程完成。若某一步未达到预期状态，应先按排错提示排查，不要跳过继续，以免掩盖问题。
排错提示
- 对所有公告盲目打补丁会浪费精力。
- 忽略可达性会漏掉真实暴露。
- 不记录处置会丢失决策轨迹。
适用边界
- 需要依赖扫描与 SBOM。
- 关键且可达的发现应立即修复。