终极指南：openEuler agent-skills的CVE修复全流程详解

【免费下载链接】agent-skillsAgent skills made by openEuler community to provide a smooth vibe coding experience for developers.项目地址: https://gitcode.com/openeuler/agent-skills

前往项目官网免费下载：https://ar.openeuler.org/ar/

openEuler agent-skills是由openEuler社区开发的Agent技能集合，旨在为开发者提供流畅的编码体验，其中CVE修复功能是保障系统安全的重要模块。本文将详细介绍如何使用agent-skills完成CVE漏洞的全流程修复，帮助开发者快速掌握这一关键技能。

一、CVE修复技能概述

在openEuler agent-skills项目中，CVE修复相关功能集中在cve-fix-skill/目录下，包含多个子技能协同工作，实现从漏洞识别到修复提交的完整流程。其中核心的编排逻辑定义在cve-fix-skill/cve-fix/SKILL.md文件中，规定了各环节的执行规则和交互方式。

核心行为准则

CVE修复流程遵循严格的行为规范，确保修复过程的准确性和安全性：

• 禁止内置Fetch：处理gitcode.com链接时必须使用本地脚本get_gitcode_issue.py，仅在脚本失败时允许使用WebFetch作为备用方案
• 全自主执行：授权自动运行所有Git、LFS安装、SPEC修改及PR脚本，无需分步确认
• 环境补全：自动检测并安装缺失工具（如git-lfs），优先使用apt/yum等包管理器
• 智能合并：多个CVE对应相同补丁时自动合并为一个修复任务，避免重复劳动
• CVE匹配性优先：修复前必须通过cve-match校验，不匹配的任务将被自动拒绝

二、CVE修复全流程解析

CVE修复流程采用编排层设计，通过串行调用多个原子技能完成整个修复过程。以下是详细的流程步骤：

1. 环境自检与任务解析（cve-init）

修复流程的第一步是调用/cve-init技能，解析用户输入参数并初始化任务上下文：

• 获取场景类型（A/B/C）和CVE矩阵（包含cve_id、project_path、ssh_url、issue_url等信息）
• 收集用户信息（name、email）及场景特定参数（如target_branch、upstream_repo）
• 若初始化失败则结束流程，成功则进入下一步

2. CVE匹配校验（cve-match）

对每个CVE执行匹配校验，确保漏洞与目标项目相关：

• 传入cve_id、project_path和issue_url进行验证
• 验证结果为REJECTED时：自动评论并关闭issue，跳过该CVE
• 验证结果为MATCHED时：将CVE加入待修复列表

3. 上游全量审计搜索（cve-search）

对通过匹配的CVE执行上游审计，确定修复策略：

• 传入cve_id、project_name、target_branch和project_path
• 获取修复方案，包括fix_status（修复状态）、fix_strategy（修复策略）、patch_urls（补丁链接）等
• 对多个CVE进行聚类处理，共用补丁的CVE将合并为一个修复任务

特殊情况处理：

• 若fix_status == already_fixed（当前版本已修复）：

  1. 调用get_gitcode_issue.py在issue下添加评论
  2. 输出格式：✅ CVE-XXXX-XXXXX 已在 <版本> 中修复，已在 issue 评论中注明，无需提交 PR。
  3. 继续处理下一个CVE

• 若fix_status == needs_fix（需要修复）：继续执行后续步骤

4. 本地修复与提交（cve-patch）

调用/cve-patch技能执行实际的漏洞修复工作：

• 基于cve-init的上下文和cve-search的修复方案进行操作
• 完成仓库克隆、分支创建、补丁应用和本地提交
• 输出work_dir（工作目录）、branch_name（分支名）和spec_file（SPEC文件路径）

5. 修复验证（cve-verify）

对修复结果进行验证，确保补丁正确应用且无冲突：

• 传入spec_file和cve_id执行验证脚本
• 执行命令：bash ~/.claude/skills/cve-verify/rpm_verify.sh <SPEC_FILE> <CVE_ID>
• 验证失败时：回退到cve-search阶段重新审计补丁
• 验证通过时：进入下一步提交流程

6. 推送与PR提交（cve-submit）

完成最终的修复提交：

• 传入cve-patch的输出、cve-search的修复方案和cve-init的上下文
• 推送分支并创建PR，获取PR URL
• 清理临时工作目录，完成修复流程

三、流程编排与状态管理

CVE修复流程采用严格的状态管理和上下文传递机制，确保各环节无缝衔接：

编排流程示意图

用户输入 │ ▼ /cve-init ──→ 任务上下文（场景、CVE列表、用户信息） │ ▼ (对每个 CVE) /cve-match ──→ 匹配？ │ ├─ REJECTED → 自动评论+关闭，跳过 │ └─ MATCHED ↓ ▼ /cve-search ──→ fix_status? │ ├─ already_fixed → 评论 issue → 结束 │ └─ needs_fix ↓ ▼ /cve-patch ──→ 本地已提交的工作目录 │ ▼ /cve-verify ──→ 验证通过？ │ ├─ 失败 → 回退到 /cve-search 重新审计 │ └─ 通过 ↓ ▼ /cve-submit ──→ PR URL + 清理

Token与时长追踪

为优化资源使用，流程中加入了Token与时长追踪机制：

• 使用token_snapshot.py记录各阶段的Token消耗
• 在每个skill开始和结束时标记状态，自动计算差值并持久化到tracking.json
• 追踪数据将在PR描述中生成摘要表格，便于资源消耗分析

基本追踪命令：

# 清除上次残留数据 python3 ~/.claude/skills/cve-fix/token_snapshot.py clear # 标记阶段开始 python3 ~/.claude/skills/cve-fix/token_snapshot.py mark --stage cve-init --event start # 标记阶段结束 python3 ~/.claude/skills/cve-fix/token_snapshot.py mark --stage cve-init --event end

四、实际应用示例

示例1：仓库批量修复

输入：修复src-openeuler/kernel仓库里的漏洞

流程：

1. cve-init：获取到2个Issue，解析出CVE-202X-01和02
2. cve-match：两个CVE均匹配通过
3. cve-search：审计发现两个CVE对应同一个Master Commit，决定合并修复
4. cve-patch：合入补丁，更新SPEC文件
5. cve-verify：rpmbuild -bp验证通过
6. cve-submit：提交PR（描述中注明包含2个CVE），清理临时目录

示例2：特定分支修复

输入：在giflib仓库的lts分支上修复CVE-2026-23868

流程：

1. cve-init：识别场景C，记录upstream_repo=src-openeuler/giflib, target_branch=lts
2. cve-match：CVE匹配通过
3. cve-search：找到上游修复Commit
4. cve-patch：Fork仓库，克隆lts分支，创建fix-CVE-2026-23868分支并执行修复
5. cve-verify：验证通过
6. cve-submit：提交PR到src-openeuler/giflib的lts分支，输出PR URL

五、开始使用CVE修复技能

要开始使用openEuler agent-skills的CVE修复功能，首先需要克隆项目仓库：

git clone https://gitcode.com/openeuler/agent-skills

项目的CVE修复相关文档和脚本位于cve-fix-skill/目录下，其中pr_contribution_guide.md提供了PR提交的详细规范，建议在首次使用前阅读。

通过本文的指南，您已经了解了openEuler agent-skills的CVE修复全流程。无论是单个漏洞修复还是批量处理，这套自动化工具都能帮助您高效、准确地完成任务，为openEuler系统的安全性保驾护航。

【免费下载链接】agent-skillsAgent skills made by openEuler community to provide a smooth vibe coding experience for developers.项目地址: https://gitcode.com/openeuler/agent-skills