snyk插件不显示行级告警，因其本质是依赖扫描器而非源码分析器，仅解析package.json等文件并报告cve，结果仅出现在problems面板，不标注代码行。
为什么 Snyk 插件装了却看不到代码行级告警
Snyk 插件在 VSCode 里不标红代码、不画波浪线，因为它根本不是源码分析器——它只读 package.json 和 package-lock.json（或 yarn.lock），比对已安装依赖是否含已知 CVE。所有结果只出现在 PROBLEMS 面板，不会注入到编辑器行内。
常见错误现象：
- 右下角显示
Not authenticated，插件功能完全静默 - 项目没
package-lock.json，扫描结果大量漏报（无法确认真实安装版本） - 手动点了
Snyk: Test This Project却没反应——说明未登录或网络策略拦截了请求
实操建议：
- 必须先点击右下角
Sign in to Snyk，用 GitHub 或邮箱完成认证 - 确保项目根目录有
package-lock.json；若用 yarn，需有yarn.lock - 首次使用务必手动触发命令：
Ctrl+Shift+P→ 输入Snyk: Test This Project，等几秒看 PROBLEMS 面板 - 如需自动扫描，打开设置搜索
snyk.autoscan，设为true（但仅限保存时触发，非实时）
npm audit 能否替代 Snyk 插件
npm audit 是本地 CLI 工具，不依赖网络认证，但能力有限：它只查 npm registry 公开漏洞库（NSP），不覆盖 GitHub Advisory Database 或私有 CVE，且无法识别间接依赖的深层路径漏洞。
实操建议：
- 运行
npm audit --audit-level=high可只报告高危及以上漏洞，避免信息过载 - 搭配
npm audit --fix自动升级可修复的包；但注意：某些 patch 会破坏 API 兼容性，务必跑测试 - 若项目用
yarn，优先用yarn audit --severity high，输出更结构化 -
npm audit不会自动更新package-lock.json中的嵌套依赖，需加--force才生效（慎用）
Codesight 插件如何定位风险依赖并生成修复方案
Codesight 是基于 Black Duck 的轻量前端插件，优势在于能直接在 VSCode 内展示依赖树+漏洞路径，并给出 resolutions 写法建议，适合快速修复锁死版本问题。
Rydberg Agent Node
下载
使用一条命令部署ProbeChain Rydberg测试网代理节点。自动注册为Agent(NodeType=1)，免gas，支持macOS/Linux/Windows。触发词：/r
常见错误现象：
- 扫描后只显示 “No vulnerabilities found”，但
npm audit明确报出node-sass@4.14.1存在 CVE-2023-29888 - 修复建议里出现
npm-force-resolutions，但执行后npm install报错Timeout trying to fetch resolutions from npm
实操建议：
- 确保
package.json根层级已声明resolutions字段（不是devDependencies下） - Codesight 给出的修复版本要手动核对：比如它建议
"node-sass": "7.0.3"，但你的项目用的是dart-sass，应改用"sass": "^1.70.0" - 若用
resolutions，必须配合npm-force-resolutions且在scripts.preinstall中加入npx npm-force-resolutions - Codesight 不扫描
node_modules目录本身，所以删掉node_modules后再重装才能验证修复是否生效
哪些插件会误报或漏报，怎么交叉验证
没有单一插件能 100% 覆盖所有漏洞类型。Snyk 漏报私有 registry 包，npm audit 不查构建时依赖（如 webpack 插件），Codesight 对 monorepo 的 workspace 引用支持弱。
实操建议：
- 三者结果不一致时，以
npm ls <vulnerable-package></vulnerable-package>输出的依赖路径为准——这才是真实加载链 - 对
critical级别漏洞，手动查 https://www.php.cn/link/cc6cc594d736170315986aa4cb4c05c4，输入包名+版本，看 PoC 是否公开 - 若项目含 C++ binding（如
sqlite3、sharp），必须额外运行npm audit --production，否则开发依赖干扰判断 - CI 流程中不要只信插件 UI，应在
package.json加"scripts.security-check": "npm audit --audit-level=high || exit 1"并设为 prebuild
真正容易被忽略的点是：漏洞是否实际可达。比如 axios 的 CVE 只影响 http 协议调用，而你项目全走 https，那它就是个假阳性——得看漏洞描述里的 exploit condition，不是所有红色警告都该立刻处理。
