# 查询已知漏洞与 CVE

## 使用场景

当你不仅想分析本地代码本身，还希望结合第三方依赖、已知漏洞库和 CVE 信息，做更完整的安全评估时，可以在安全漏洞分析任务中加入 Web 搜索和已知漏洞查询要求。

## 操作步骤

1. 在安全分析任务中明确说明：除了阅读代码，还要查询相关已知漏洞和 CVE 信息。
2. 指定需要关注的依赖、组件、框架或库。
3. 先让系统完成代码阅读，明确依赖关系和潜在风险点。
4. 再让系统结合 Web 搜索补充已知安全情报。
5. 如果你想直接给出可执行任务，可以使用类似描述：`请在分析本项目认证模块时，同时查询使用到的 OpenSSL 和 nginx 相关已知漏洞与 CVE，最后把本地代码风险和外部漏洞情报合并到一份报告中。`
6. 最后要求把本地代码问题和外部已知漏洞风险一起整理进报告。

## 你会看到的提示与反馈

- 最终报告不仅会覆盖本地代码中的安全问题，也会包含已知漏洞相关风险。
- 系统会把第三方依赖风险纳入整体安全评估，而不是只盯着业务代码。
- 查询结果通常会作为辅助验证材料，帮助你判断依赖是否存在公开安全情报风险。

## 注意事项

- Web 搜索是辅助验证手段，前提仍然是先理解代码和依赖关系。
- 这不是脱离上下文的纯关键词搜索，应该与当前项目实际依赖结合使用。
- 已知漏洞信息适合补充风险视角，但不应替代本地代码审查本身。
- 如果依赖信息不清楚，先做依赖识别，再做漏洞查询会更可靠。
- 只说“查一下 CVE”通常过于宽泛，最好明确依赖名称、版本范围或重点模块。
