PR 触发性漏洞预警

订阅关键依赖的安全公告，自动扫描自家代码是否中招并给出补丁 PR

痛点

社区里流传着关于 PHP 多个版本 RCE、CVSS 10.0 漏洞即将公布的预警，但消息来源只是『朋友说的』，真假难辨。小团队和独立开发者没有专职安全人员，既无法判断这类传闻是否可信，也不知道自己的项目（包括很久没动的旧项目）是否受影响，只能祈祷。

方案

用户登记自己用的语言/框架/依赖版本，服务端订阅官方公告与漏洞库（如 CVE、GitHub Advisory、厂商安全频道）；一旦出现匹配的漏洞公告，立即评估受影响范围，并在用户授权的仓库上自动开一个升级补丁 PR 或生成升级清单，同时给出『该传闻尚未被官方确认』的可信度分级。

用户

独立开发者、小型技术团队、维护多个老旧项目的自由职业者、没有专职安全的初创公司

MVP

GitHub 账号 OAuth 接入并读取依赖清单；订阅 GitHub Advisory 与主要语言官方公告；漏洞命中时邮件/IM 通知并附受影响版本说明；对简单依赖自动开升级 PR；给传闻类消息打上『未证实』标签

变现

按仓库数量订阅，免费 3 个仓库；企业版支持私有仓库、Slack 告警与合规报告导出

为何现在

供应链漏洞公告越来越频繁、谣言也越来越多，小团队没有安全预算；GitHub Advisory 等数据源已标准化，独立开发者能低成本聚合并自动化开 PR