または、`npx`を使った一回限りの実行:```bash
npx cve-lite-cli /path/to/project

For the full flag reference and exit codes see the [CLI Reference guide](https://owasp.org/cve-lite-cli/docs/cli-reference) and [Fix mode guide](https://owasp.org/cve-lite-cli/docs/fix-mode).

## オーバーライドの衛生 (`overrides`)

`overrides` と `resolutions` は強力ですが、やがて腐敗します。CVE Lite CLI は、npm、pnpm、yarn、bun にわたってこれらを監査し、11 種類の問題を検出します。

| Rule | What it catches |
|---|---|
| `OA001` | 孤立したターゲット: ツリー内に存在しなくなったパッケージへのオーバーライド |
| `OA002` | 浮動タグ: 移動するタグ (`latest`, `next`) に固定されたオーバーライド |
| `OA003` | 誤ったセクション: 誤ったコンテナに配置されたオーバーライド |
| `OA004` | 超過したピン: ツリーの他の部分がピン留めを超えて移動した |
| `OA005` | 適用されない入れ子の無効なオーバーライド |
| `OA006` | 結合されたプラットフォームバイナリ: 親の正確なピンと競合するオーバーライド |
| `OA007` | 凍結された latest: レジストリがピン留めされたバージョンを超えて進行した (`--check-network` が必要) |
| `OA008` | 具体化された脆弱なコピーがオーバーライドにもかかわらずディスク上に残っている |
| `OA009` | 陳腐化した下限: オーバーライド範囲の下限がすでにすべての親宣言で満たされている |
| `PD001` | オーバーライドのみのファントム: ソースでインポートされているが、オーバーライドのピンによってのみ存在するパッケージ |
| `PD002` | 推移依存のみのファントム: ソースでインポートされているが、推移的依存関係としてのみ存在するパッケージ |

`overrides` サブコマンドを自動修正サポート付きで使用すると、衛生のみの実行（CVE スキャンなし、より高速、完全にオフライン対応）が可能です。通常の CVE スキャンに衛生チェック結果を 1 回のパスで追加するには、`--check-overrides` を使用します。```bash
cve-lite /path/to/project overrides           # hygiene only - no CVE scan
cve-lite /path/to/project overrides --fix     # hygiene only, auto-fix where possible
cve-lite /path/to/project --check-overrides   # CVE scan + hygiene in one pass

この警告は参考情報であり、デフォルトで有効です（フラグなし、終了コードの変更なし）。`min-release-age`（npm）、`minimumReleaseAge`（pnpm）、または `npmMinimalAgeGate`（Yarn）を読み取りますが、独自のウィンドウを発明することはありません。

完全なガイドについては、[Release Cooldown Awarenessガイド](https://owasp.org/cve-lite-cli/docs/release-cooldown) を参照してください。

## 表示例

<table>
  <tr>
    <th align="center">ターミナル出力</th>
    <th align="center">HTMLダッシュボード（<code>--report</code>）</th>
  </tr>
  <tr>
    <td align="center">
      <a href="https://raw.githubusercontent.com/OWASP/cve-lite-cli/main/assets/default-output.png">
        <img src="https://assets.kitploit.com/production/public/readmes/7661/b72777dc2a0f00a93892a08c882954c03a39cf968b3dad433827c15b45b1c985.png" alt="CVE Lite CLIターミナル出力" width="440"/>
      </a>
    </td>
    <td align="center">
      <a href="https://raw.githubusercontent.com/OWASP/cve-lite-cli/main/assets/html-report-dashboard.png">
        <img src="https://assets.kitploit.com/production/public/readmes/7661/699fd5cde8ad1c1dc3eb845f2bc32d09fd2dc60245042e8f911ac4bf6f946a0c.png" alt="CVE Lite CLI HTMLダッシュボード" width="440"/>
      </a>
    </td>
  </tr>
  <tr>
    <td align="center"><sub>デフォルトのスキャン出力・<a href="https://owasp.org/cve-lite-cli/docs/reading-output">出力ガイド</a></sub></td>
    <td align="center"><sub><code>--report</code> で生成・<a href="https://owasp.org/cve-lite-cli/docs/html-report">HTMLレポートガイド</a></sub></td>
  </tr>
</table>

<details>
<summary>詳細なターミナル出力 — 完全な修正プランを含む</summary>
<p align="center">
  <a href="https://raw.githubusercontent.com/OWASP/cve-lite-cli/main/assets/verbose-output-1.png"><img src="https://assets.kitploit.com/production/public/readmes/7661/82e8371fbcac0238198f9e34cb0ff48f71e5690d8a991f70f120796eba8c0fba.png" alt="詳細出力 パート1" width="280"/></a>
  <a href="https://raw.githubusercontent.com/OWASP/cve-lite-cli/main/assets/verbose-output-2.png"><img src="https://assets.kitploit.com/production/public/readmes/7661/9888319df16a2010309888825898f16def2d25c43f41e4c9d9d0df38f774da53.png" alt="詳細出力 パート2" width="280"/></a>
  <a href="https://raw.githubusercontent.com/OWASP/cve-lite-cli/main/assets/verbose-output-3.png"><img src="https://assets.kitploit.com/production/public/readmes/7661/96a76fc3d204012abd305eb1b52e80fb97caa1efc0dabb32c977e500b53b0c8a.png" alt="詳細出力 パート3" width="280"/></a>
</p>
</details>

## CVE Lite CLIを使う理由

ほとんどのセキュリティツールは開発者ではなくパイプラインを中心に構築されています。Dependabotは、いずれ対応するだろうPRを開きます。CIスキャナは事後にマージをブロックします。ダッシュボードにはCVE IDの一覧が表示されますが、それを修正する明確な道筋はありません。開発者はそれを無視することを覚えてしまいます。

CVE Lite CLIは、プッシュする前の瞬間のために作られています。ロックファイルをローカルで読み取り、[OSV](https://osv.dev) に問い合わせ、コピーして実行できる `npm install`、`pnpm add`、`yarn add`、または `bun add` コマンドを生成します。識別子のリストではありません。直接依存か推移的依存かを確認でき、親パッケージを考慮したアップグレードガイダンスを得られ、制限された環境でもオフラインでスキャンできます。

セキュリティツールが開発者の自然なワークフローに近ければ近いほど、実際に使われる可能性が高くなります。

## 他ツールとの比較

npm、pnpm、Yarn、Bunにわたるロックファイルスキャン、どのパッケージをアップグレードすべきかを教えてくれる（単に脆弱なものを示すだけでなく）親パッケージ認識型の推移的依存の修復、アップグレードを提案する前の修正バージョン検証、そして制限された環境向けの完全オフラインのアドバイザリDB。これらすべてを組み合わせた無料ツールは他にありません。

| 機能 | CVE Lite CLI | npm audit | OSV-Scanner | Snyk CLI | Socket CLI |
|---|:---:|:---:|:---:|:---:|:---:|
| JS/TSロックファイルスキャン | ✅ | ✅ | ✅ | ✅ | ✅ |
| npm + pnpm + Yarn + Bun対応 | ✅ | ❌ | ✅ | ✅ | ✅ |
| アカウント不要 | ✅ | ✅ | ✅ | ❌ | ❌ |
| 無料で利用可能 | ✅ | ✅ | ✅ | ❌ | ❌ |
| 使用状況を考慮した到達可能性スキャン | ✅ | ❌ | ❌ | ✅ | ⚠️ |
| 直接依存と推移的依存の可視化 | ✅ | ⚠️ | ✅ | ✅ | ✅ |
| 開発依存と実行時依存のラベル付け | ✅ | ⚠️ | ❌ | ⚠️ | ❌ |
| コピーして実行できる修正コマンド | ✅ | ❌ | ❌ | ✅ | ⚠️ |
| 推移的依存の親パッケージ更新ガイダンス | ✅ | ❌ | ⚠️ | ⚠️ | ⚠️ |
| 推奨修正プラン | ✅ | ❌ | ⚠️ | ✅ | ⚠️ |
| ラチェットモード（ベースライン抑制） | ✅ | ❌ | ❌ | ⚠️ | ❌ |
| インタラクティブHTMLレポート | ✅ | ❌ | ❌ | ✅ | ❌ |
| SARIF / GitHub Code Scanning出力 | ✅ | ❌ | ✅ | ✅ | ❌ |
| JSON出力 | ✅ | ✅ | ✅ | ✅ | ✅ |
| オフライン/ローカルアドバイザリDB | ✅ | ❌ | ⚠️ | ❌ | ❌ |
| オーバーライド衛生の監査 | ✅ | ❌ | ❌ | ❌ | ❌ |

<sub>✅ = 標準で搭載 · ⚠️ = 部分的またはワークフロー依存 · ❌ = 中核機能ではない</sub>

推移的依存の親パッケージガイダンスは大きな違いです。CVE Lite CLIは、推移的にのみ存在するパッケージについて直接インストールを推奨することを避けます。npmロックファイルでは、現在の親パッケージの範囲内で既知の非脆弱な子パッケージを再解決するのに `npm update <parent>` で十分な場合と、親パッケージ自体のアップグレードが必要な場合を識別できます。

ツールごとの詳細な分析については、[他のツールとの比較](https://owasp.org/cve-lite-cli/docs/comparison) を参照してください。

## Dependabotを1つの一括PRで置き換える

CVE Lite CLI v1.26.0 には、スケジュールに従って実行され、検証済みのすべての依存関係アップグレードを含む**単一の一括プルリクエスト**を開くGitHub Action修正モードが同梱されています。アドバイザリID、修正前後の検出件数、OSVが確認した修正バージョンが含まれます。

このファイルをリポジトリに追加してください。```yaml
# .github/workflows/cve-lite-fix.yml
name: CVE Lite security fixes
on:
  schedule:
    - cron: '0 6 * * 1'  # every Monday at 6am
  workflow_dispatch:
permissions:
  contents: write
  pull-requests: write
jobs:
  fix:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          ref: ${{ github.event.repository.default_branch }}
      - uses: OWASP/cve-lite-cli@v1
        with:
          fix: 'true'
          create-pr: 'true'

詳細、フィンガープリント、およびプロジェクトの脅威モデルについては、[SECURITY.md](https://github.com/OWASP/cve-lite-cli/blob/main/src/docs/SECURITY.md) と [Security Assurance Case](https://owasp.org/cve-lite-cli/docs/security-assurance-case) を参照してください。

ガバナンスの詳細（役割、意思決定、紛争解決）については、[CONTRIBUTING.md](https://github.com/OWASP/cve-lite-cli/blob/main/src/docs/CONTRIBUTING.md) を参照してください。

## コントリビューション

出力の明瞭さ、修復ガイダンス、エコシステムのカバレッジ、およびCIの利用に関するフィードバックは特に価値があります。

始めるには [CONTRIBUTING.md](https://github.com/OWASP/cve-lite-cli/blob/main/src/docs/CONTRIBUTING.md) を参照してください。

## プロジェクトにバッジを追加する

プロジェクトでCVE Lite CLIを使用している場合は、このバッジをREADMEに追加してください：```markdown
[![Protected by CVE Lite CLI](https://img.shields.io/badge/Protected_by-CVE_Lite_CLI-brightgreen)](https://github.com/OWASP/cve-lite-cli)