终极指南openEuler agent-skills的CVE修复全流程详解【免费下载链接】agent-skillsAgent skills made by openEuler community to provide a smooth vibe coding experience for developers.项目地址: https://gitcode.com/openeuler/agent-skills前往项目官网免费下载https://ar.openeuler.org/ar/openEuler agent-skills是由openEuler社区开发的Agent技能集合旨在为开发者提供流畅的编码体验其中CVE修复功能是保障系统安全的重要模块。本文将详细介绍如何使用agent-skills完成CVE漏洞的全流程修复帮助开发者快速掌握这一关键技能。一、CVE修复技能概述在openEuler agent-skills项目中CVE修复相关功能集中在cve-fix-skill/目录下包含多个子技能协同工作实现从漏洞识别到修复提交的完整流程。其中核心的编排逻辑定义在cve-fix-skill/cve-fix/SKILL.md文件中规定了各环节的执行规则和交互方式。核心行为准则CVE修复流程遵循严格的行为规范确保修复过程的准确性和安全性禁止内置Fetch处理gitcode.com链接时必须使用本地脚本get_gitcode_issue.py仅在脚本失败时允许使用WebFetch作为备用方案全自主执行授权自动运行所有Git、LFS安装、SPEC修改及PR脚本无需分步确认环境补全自动检测并安装缺失工具如git-lfs优先使用apt/yum等包管理器智能合并多个CVE对应相同补丁时自动合并为一个修复任务避免重复劳动CVE匹配性优先修复前必须通过cve-match校验不匹配的任务将被自动拒绝二、CVE修复全流程解析CVE修复流程采用编排层设计通过串行调用多个原子技能完成整个修复过程。以下是详细的流程步骤1. 环境自检与任务解析cve-init修复流程的第一步是调用/cve-init技能解析用户输入参数并初始化任务上下文获取场景类型A/B/C和CVE矩阵包含cve_id、project_path、ssh_url、issue_url等信息收集用户信息name、email及场景特定参数如target_branch、upstream_repo若初始化失败则结束流程成功则进入下一步2. CVE匹配校验cve-match对每个CVE执行匹配校验确保漏洞与目标项目相关传入cve_id、project_path和issue_url进行验证验证结果为REJECTED时自动评论并关闭issue跳过该CVE验证结果为MATCHED时将CVE加入待修复列表3. 上游全量审计搜索cve-search对通过匹配的CVE执行上游审计确定修复策略传入cve_id、project_name、target_branch和project_path获取修复方案包括fix_status修复状态、fix_strategy修复策略、patch_urls补丁链接等对多个CVE进行聚类处理共用补丁的CVE将合并为一个修复任务特殊情况处理若fix_status already_fixed当前版本已修复调用get_gitcode_issue.py在issue下添加评论输出格式✅ CVE-XXXX-XXXXX 已在 版本 中修复已在 issue 评论中注明无需提交 PR。继续处理下一个CVE若fix_status needs_fix需要修复继续执行后续步骤4. 本地修复与提交cve-patch调用/cve-patch技能执行实际的漏洞修复工作基于cve-init的上下文和cve-search的修复方案进行操作完成仓库克隆、分支创建、补丁应用和本地提交输出work_dir工作目录、branch_name分支名和spec_fileSPEC文件路径5. 修复验证cve-verify对修复结果进行验证确保补丁正确应用且无冲突传入spec_file和cve_id执行验证脚本执行命令bash ~/.claude/skills/cve-verify/rpm_verify.sh SPEC_FILE CVE_ID验证失败时回退到cve-search阶段重新审计补丁验证通过时进入下一步提交流程6. 推送与PR提交cve-submit完成最终的修复提交传入cve-patch的输出、cve-search的修复方案和cve-init的上下文推送分支并创建PR获取PR URL清理临时工作目录完成修复流程三、流程编排与状态管理CVE修复流程采用严格的状态管理和上下文传递机制确保各环节无缝衔接编排流程示意图用户输入 │ ▼ /cve-init ──→ 任务上下文场景、CVE列表、用户信息 │ ▼ (对每个 CVE) /cve-match ──→ 匹配 │ ├─ REJECTED → 自动评论关闭跳过 │ └─ MATCHED ↓ ▼ /cve-search ──→ fix_status? │ ├─ already_fixed → 评论 issue → 结束 │ └─ needs_fix ↓ ▼ /cve-patch ──→ 本地已提交的工作目录 │ ▼ /cve-verify ──→ 验证通过 │ ├─ 失败 → 回退到 /cve-search 重新审计 │ └─ 通过 ↓ ▼ /cve-submit ──→ PR URL 清理Token与时长追踪为优化资源使用流程中加入了Token与时长追踪机制使用token_snapshot.py记录各阶段的Token消耗在每个skill开始和结束时标记状态自动计算差值并持久化到tracking.json追踪数据将在PR描述中生成摘要表格便于资源消耗分析基本追踪命令# 清除上次残留数据 python3 ~/.claude/skills/cve-fix/token_snapshot.py clear # 标记阶段开始 python3 ~/.claude/skills/cve-fix/token_snapshot.py mark --stage cve-init --event start # 标记阶段结束 python3 ~/.claude/skills/cve-fix/token_snapshot.py mark --stage cve-init --event end四、实际应用示例示例1仓库批量修复输入修复src-openeuler/kernel仓库里的漏洞流程cve-init获取到2个Issue解析出CVE-202X-01和02cve-match两个CVE均匹配通过cve-search审计发现两个CVE对应同一个Master Commit决定合并修复cve-patch合入补丁更新SPEC文件cve-verifyrpmbuild -bp验证通过cve-submit提交PR描述中注明包含2个CVE清理临时目录示例2特定分支修复输入在giflib仓库的lts分支上修复CVE-2026-23868流程cve-init识别场景C记录upstream_reposrc-openeuler/giflib, target_branchltscve-matchCVE匹配通过cve-search找到上游修复Commitcve-patchFork仓库克隆lts分支创建fix-CVE-2026-23868分支并执行修复cve-verify验证通过cve-submit提交PR到src-openeuler/giflib的lts分支输出PR URL五、开始使用CVE修复技能要开始使用openEuler agent-skills的CVE修复功能首先需要克隆项目仓库git clone https://gitcode.com/openeuler/agent-skills项目的CVE修复相关文档和脚本位于cve-fix-skill/目录下其中pr_contribution_guide.md提供了PR提交的详细规范建议在首次使用前阅读。通过本文的指南您已经了解了openEuler agent-skills的CVE修复全流程。无论是单个漏洞修复还是批量处理这套自动化工具都能帮助您高效、准确地完成任务为openEuler系统的安全性保驾护航。【免费下载链接】agent-skillsAgent skills made by openEuler community to provide a smooth vibe coding experience for developers.项目地址: https://gitcode.com/openeuler/agent-skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考