如何对私有 npm 源同样进行漏洞扫描 - 问题详情 - 创脉思

解读

在国内企业级前端交付链路中，私有 npm 源（Verdaccio、cnpm、Nexus、Artifactory 等） 已成为标配，用于托管内部组件、业务 SDK 以及镜像缓存。由于这些包不会经过公网审计，一旦出现恶意代码或间接依赖漏洞，风险会直接传导到线上业务。面试官问“如何对私有 npm 源同样进行漏洞扫描”，核心想验证三点：

你是否理解**“源”≠“仓库”**，扫描动作要发生在“入口、存储、出口”三个环节；
你是否能把公网成熟的 SCA（Software Composition Analysis）方案无缝嫁接到内网，解决证书、隔离、加速等问题；
你是否能在 Grunt 构建管线里把扫描做成门禁，而不是事后报表。

知识点

私有源的三层漏洞面
- 上传阶段：开发者 npm publish 时即需卡点，防止带毒包入库。
- 存储阶段：对已有包做周期性静态分析，识别 transitive dependency 风险。
- 消费阶段：CI 安装依赖时再次校验，防止“投毒包”在两次扫描之间被上传。
Grunt 生态的插桩位置
- grunt-contrib-watch 监听 package.json 或 lock 文件变更，触发 grunt-run 调用 CLI 扫描器。
- grunt-exec 可直接调用 npm audit --registry=https://your.private.repo --audit-level=moderate，但内网需先解决“audit 地址不可达”问题。
- 官方插件 grunt-nsp 已下线，需替换为**@cyclonedx/bom** + grunt-dependency-check 组合，生成 SBOM 后交给内网漏洞平台比对。
国内落地常见卡点
- 私源默认关闭 _audit 接口，需在 Verdaccio 的 config.yaml 里手动打开 audit: true 并指向内网审计服务。
- 公网 CVE 库被墙，需在 DMZ 区部署漏洞数据库镜像（如 vuln-db-mirror），每日同步 NVD、CNNVD、CNSA 源，并做 GB/T 30279 本地化分级。
- 企业内网 CA 证书自签，导致 npm audit 报 SELF_SIGNED_CERT_IN_CHAIN，需在 Gruntfile 里加 process.env.NODE_EXTRA_CA_CERTS=corp-root.pem。
二次研发方案
若开源工具不满足，可基于 graphene-os 的 osv-detector 做二次封装：
- 用 Go 写独立扫描器，解析 package-lock.json → 生成 PURL → 调用内网 OSV 服务 → 返回 JSON。
- 在 Grunt 中通过 grunt.util.spawn 调用该二进制，返回码非 0 即中断构建。

答案

要在私有 npm 源实现与公网同级别的漏洞扫描，需“源端开启审计 + 客户端强制校验 + 构建管线门禁”三位一体：

源端改造
以 Verdaccio 为例，在 config.yaml 增加：
```
middlewares:
  audit:
    enabled: true
    endpoint: https://security.internal/audit  # 内网审计服务
```
该审计服务内部每 4 小时同步一次官方 CVE + 自研 SRC 漏洞，提供与 registry.npmjs.org/-/npm/v1/security/advisories/bulk 兼容的接口，确保 npm audit --registry https://npm.internal 可直接消费。

Grunt 管线集成
在 Gruntfile 中新增任务：

grunt.registerTask('security', function() {
  const done = this.async();
  const ca = fs.readFileSync('certs/corp-root.pem');
  const child = grunt.util.spawn({
    cmd: 'npm',
    args: ['audit', '--json', '--registry=https://npm.internal'],
    opts: { env: { ...process.env, NODE_EXTRA_CA_CERTS: 'certs/corp-root.pem' } }
  }, (err, result, code) => {
    const data = JSON.parse(result.stdout);
    const vulns = data.metadata.vulnerabilities;
    if (vulns.total > 0) {
      grunt.fail.fatal(`发现 ${vulns.critical} 个严重、${vulns.high} 个高危漏洞，禁止构建！`);
    }
    done();
  });
});

把 security 任务插入到 grunt.registerTask('default', ['clean', 'eslint', 'security', 'webpack']);，实现未修复漏洞即中断打包。

存量包治理
对私源已有组件，用 @cyclonedx/cyclonedx-npm 生成 SBOM，上传到内网 SCA 平台做批量比对；平台返回的高危组件列入 .nsprc 黑名单，Grunt 构建时通过 grunt-nsprc 插件拒绝引入。
发布门禁
在私有源前加 npm-proxy-cache 层，开发者 npm publish 时先触发 pre-publish 钩子，调用同一套审计接口；若存在 ≥ 高危漏洞，返回 403，从入口彻底堵住问题包。

通过以上四步，私有 npm 源即可达到与公网一致的漏洞扫描能力，且与 Grunt 构建管线无缝融合，实现“左侧安全移位”。

拓展思考

多云私源场景
若集团在阿里云、腾讯云分别部署 Verdaccio 节点，需在两地各建审计服务，还是统一回源？
建议采用“边缘扫描 + 中心漏洞库”模式：边缘节点只负责采集依赖清单，通过内网专线把 PURL 列表上报到中心，中心返回结果，既节省流量又保证版本一致性。
零信任与 SBOM 持续交付
未来审计不再只是“版本号比对”，还需校验制品哈希、仓库签名、构建链路。可在 Grunt 管线里再接入 in-toto 布局，确保每次 npm ci 的依赖图谱与 SBOM 签名一致，实现“可验证的零信任构建”。