我开发了一个免费的合规扫描工具，因为企业级的那些价格比我的房租还高。

2026西湖龙井茶官网DTC发售：茶农直供，政府溯源防伪到农户家 

我是一名网络安全工程师——入行已有七年，目前担任安全策略分析师，此前曾是应用安全架构师。我开始在业余时间开发一款 SaaS 产品，但很快就遇到了障碍：如何在不花五万美元购买 GRC 工具的情况下，证明这个产品符合合规要求？

于是我亲自构建了合规映射。随后我意识到，这套映射比它原本要保护的 SaaS 产品更有价值。

问题所在

你运行了 npm audit，结果发现了 47 个漏洞。接下来该怎么办？

哪些漏洞违反了 SOC 2 控制项？哪些会在 CMMC 评估中被发现？哪些会被 FedRAMP 审计员标记？没人告诉你这些。你只能自己手动将 CVE 对应到 CWE，再对应到 NIST 控制项和框架映射——通常是在周五下午，用电子表格一点点核对。

这简直荒谬至极。

我构建的工具

npx @cveriskpilot/scan@latest --preset startup

只需一条命令。无需注册账户，无需 API 密钥，完全离线运行。

它会扫描你的依赖项、密钥以及基础设施即代码（IaC）配置，并将每个发现结果映射到六大合规框架：NIST 800-53、SOC 2、CMMC、FedRAMP、OWASP ASVS 和 SSDF。

你看到的不再只是“lodash 存在 CVE-2021-23337”，而是：

• CWE 分类
• 违反了哪些 NIST 800-53 控制项
• 对 SOC 2、CMMC 和 FedRAMP 的影响
• 基于严重性的判定结果（真阳性、假阳性或需人工复核）

所有信息直接显示在终端中。如需用于 CI/CD 流水线或报告，还可输出为 JSON、SARIF 或 Markdown 格式。

我为何发布此工具

我一直独自闭门开发。扫描器已经能正常工作，并已发布到 npm，但我尚未从实际使用者那里获得太多反馈。

以下几点，我真心希望能听到你的意见：

• 终端输出信息是否过于密集，还是你希望看到所有细节？
• 接下来我应该支持哪些包管理器？（当前支持：npm、yarn、pnpm、Go、pip）
• 你会真的使用为此工具封装的 GitHub Action 吗？
• 合规映射对你来说重要吗，还是只有在潜在客户提出要求时才需要考虑？

试用一下

# 使用 startup 预设扫描当前目录
npx @cveriskpilot/scan@latest --preset startup

# 仅扫描依赖项
npx @cveriskpilot/scan@latest --scan deps

# 以 JSON 格式输出
npx @cveriskpilot/scan@latest --preset startup --format json > results.json

零依赖。支持 Node 20 及以上版本。运行大约需 30 秒。

GitHub： devbrewster/cveriskpilot-scan

我是一名来自得克萨斯州的独立退伍军人创业者，正在自筹资金开发这款工具。如果它能帮哪怕一个人免于在电子表格的地狱里度过整个周末——那就是一次胜利。

尽管批评吧，我承受得住。