Node Version Audit

Node Version Audit 是一款便捷工具，可轻松检查指定Node.js版本是否存在已知CVE漏洞、最新版本发布及生命周期结束日期，其规则列表每日自动更新。

Node Version Audit 不是：漏洞检测/缓解工具、特定厂商版本跟踪工具，也不能替代对Node.js发布和安全漏洞的主动关注。

核心功能与特性

• 列出指定Node.js版本的已知CVE漏洞
• 支持检查运行时Node.js版本或手动指定版本
• 显示指定版本的生命周期结束日期
• 显示指定版本的最新发布版本，支持按补丁/次要/主要版本级别筛选：
  • 补丁级别：16.13.0 → 16.13.2
  • 次要级别：16.13.0 → 16.14.2
  • 最新版本：16.13.0 → 17.9.0
• 规则每日自动更新，信息直接来源于官方渠道，无需等待人工合并更新
• 多接口支持：CLI（通过NPM）、Docker、直接代码导入
• 易于脚本化，适用于CI/CD工作流，所有输出为JSON格式，可配合jq等工具处理
• 可配置退出条件，如使用--fail-security标记在检测到CVE或版本不支持时返回非零退出码
• 零运行时依赖

使用场景

• CI/CD流水线中的Node.js版本安全合规性检查
• 开发环境中Node.js版本漏洞和更新状态审计
• 容器化应用部署前的版本安全性验证
• 定期版本维护计划制定（基于生命周期结束日期）
• 封闭网络环境中的Node.js版本安全状态评估（需提前更新规则）

使用方法

Docker 部署示例

检查指定Node.js版本

docker run --rm -t lightswitch05/node-version-audit:latest --version=17.9.0

检查主机Node.js版本

docker run --rm -t lightswitch05/node-version-audit:latest --version=$(node -e "console.log(process.versions.node)")

代理环境下使用（受限网络）

需挂载包含可信证书（.crt扩展名）的目录，详情参见update-ca-certificates：

docker run --rm -t \
  -e https_proxy='[***] \
  --volume /full/path/to/trusted/certs/directory:/usr/local/share/ca-certificates \
  lightswitch05/node-version-audit:latest --version=17.9.0

配置参数说明

输出说明

审计结果以JSON格式输出，包含以下字段：

项目目标

• 始终使用最新信息，若信息过期（超过2周）则工具失败。因工具旨在帮助用户了解版本状态，自身必须保持更新。
• 若请求信息不可用（如未知版本12.50.0或0.9.0）则失败。工具需确保提供可靠信息，避免返回无效结果。
• 支持开放和封闭网络环境（需提前更新规则）。
• 最小资源占用和依赖（零运行时依赖）。
• 支持最旧的受支持Node.js版本运行。若使用不受支持的Node.js版本运行此工具，结果已明确：存在漏洞且版本过时。

致谢与许可

• 本项目基于Apache License 2.0许可发布。
• 本项目提供的信息准确性无法保证，所有功能仅为便捷工具，不应依赖其准确性或及时性。
• Logo基于Mathias Pettersson和Brian Hammond的Node.js Logo修改，添加了覆盖图形。
• 本项目及修改后的Node.js Logo未获Mathias Pettersson、Brian Hammond或OpenJS Foundation认可。
• CVE详情来源于美国国家标准与技术研究院的国家漏洞数据库，本项目及CVE信息使用未获NIST或NVD认可，CVE详情仅为便捷提供，准确性无法验证。
• Node.js发布详情和支持日期来源于更新日志和发布计划，准确性无法验证。

Copyright © 2022 Daniel White