风险通报
风险通报用于持续跟踪新增漏洞和恶意事件，并结合项目历史拉取记录，识别已使用组件受到的新风险影响。您可以通过风险通报及时了解风险变化，确认受影响的组件版本，并安排后续处置。
漏洞通报
进入「风险通报」，选择「漏洞通报」，页面展示新增漏洞、影响当前项目的漏洞以及重大漏洞通报情况。
| 指标 | 说明 |
|---|---|
| 新增漏洞 | 近 30 天源盾新增收录的漏洞总数 |
| 影响当前项目漏洞数 | 新增漏洞中，影响当前项目历史拉取组件版本的漏洞数量，同时展示待处理数量及受影响组件版本数量 |
| 重大漏洞通报 | 源盾重点监控的高危及以上漏洞通报数量 |
「新增漏洞」表示源盾近期新增的漏洞情报，不代表这些漏洞均影响当前项目。是否影响当前项目，需要结合项目历史拉取的组件版本进行判断。
影响当前项目
选择「影响当前项目」，可以查看新增漏洞对当前项目历史组件版本的影响情况。源盾会将新收录或状态发生变化的漏洞，与当前项目历史拉取成功的组件版本进行匹配。命中漏洞影响范围的组件版本，将进入当前项目的风险通报名单。
页面上方会显示当前套餐对应的拉取记录追溯范围。例如，专业版会将近 180 日内拉取成功的组件纳入追溯计算。超过追溯范围的历史拉取记录不会参与本次影响判断。
查看通报时，建议优先关注风险等级较高、已存在利用信息以及影响多个组件版本的漏洞，并结合项目实际使用情况确认是否需要升级或替换组件。
重大漏洞通报
选择「重大漏洞通报」，可以查看源盾重点监控的高危及以上漏洞。重大漏洞通报面向平台整体发布，不以当前项目已经拉取过相关组件为前提。因此，通报中的漏洞不一定影响当前项目。 您可以先查看漏洞影响范围，再结合项目依赖情况判断是否需要进一步排查。
- 「影响当前项目」解决的是“当前项目已经使用的组件是否受到影响”；
- 「重大漏洞通报」解决的是“近期有哪些需要重点关注的重大漏洞”。
恶意事件通报
恶意事件通报用于展示源盾新增收录的开源供应链投毒事件，并结合当前项目的历史拉取记录，判断项目是否使用过事件涉及的恶意组件版本。
进入「风险通报」，选择「恶意事件通报」，可以查看新增恶意事件以及影响当前项目的事件。
| 指标 | 说明 |
|---|---|
| 新增恶意事件 | 近 30 天源盾新增收录的恶意事件总数 |
| 影响当前项目事件 | 新增恶意事件中，命中当前项目历史拉取组件版本的事件数量，同时展示受影响的历史组件版本数量 |
新增恶意事件表示源盾近期收录的全部投毒事件，不代表这些事件均影响当前项目。是否影响当前项目，需要结合项目历史拉取记录进行判断。
查看影响当前项目的事件
选择「影响当前项目」，可以查看命中当前项目历史组件版本的恶意事件。源盾会将恶意事件涉及的组件及版本，与当前项目历史拉取成功的组件版本进行匹配。命中事件影响范围的组件版本，将展示在当前项目的恶意事件通报列表中。
页面会根据当前企业套餐说明拉取记录的追溯范围。例如，专业版会将近 180 日内拉取成功的组件纳入追溯计算。超过追溯范围的历史拉取记录不参与本次影响判断。
查看新增恶意事件
选择「新增恶意事件」，可以查看源盾近期收录的全部恶意事件。源盾汇聚 OSV、Gitee 威胁监控及自研投毒分析引擎等开源供应链威胁情报，持续通报高危投毒包及相关攻击样本。
单个恶意事件可能涉及多个恶意组件，也可能同时覆盖多个组件生态。点击事件编号，可以进一步查看事件涉及的组件、版本及风险信息。
常见问题
Q：新增漏洞或恶意事件，是否都影响当前项目？
不一定。“新增漏洞”和“新增恶意事件”统计的是源盾近 30/90/180 天新增收录的全部风险情报。只有风险影响范围命中当前项目历史拉取成功的组件版本，才会计入“影响当前项目”。
Q：系统如何判断风险是否影响当前项目？
源盾会将漏洞或恶意事件涉及的组件及版本范围，与当前项目追溯期内拉取成功的组件版本进行匹配。组件名称和版本均命中时，才会判定为影响当前项目。
Q：为什么项目以前拉取过相关组件，但没有显示受到影响？
可能原因有：
- 组件拉取时间已超出当前套餐的拉取日志追溯范围；
- 拉取未成功，不纳入追溯计算；
- 实际拉取的组件版本未命中风险影响范围；
- 组件坐标或生态不同，并非风险事件涉及的同一组件。
Q：拉取记录追溯范围是什么？
拉取记录追溯范围是系统用于风险匹配的历史时间范围。不同套餐支持的追溯范围可能不同。例如，专业版会将近 180 日内拉取成功的组件纳入计算。超过追溯范围的记录不会参与当前项目影响判断。
Q：“影响当前项目”是否表示项目代码中正在使用该组件？
不一定。当前结果依据项目历史拉取记录进行判断，表示项目曾在追溯期内成功拉取过受影响版本，不等同于该组件当前仍被业务代码实际使用。建议结合项目依赖清单和构建情况进一步确认。
Q：漏洞通报和恶意事件通报有什么区别？
漏洞通报主要跟踪具有明确漏洞编号和影响版本范围的安全缺陷；恶意事件通报主要跟踪开源供应链中的投毒组件、攻击样本等恶意威胁。两类风险来源和判定依据不同，会分别进行通报和项目影响匹配。
Q：为什么一个恶意事件会涉及多个组件或多个生态？
一个恶意事件可能包含同一批攻击活动中发现的多个投毒组件，也可能同时影响 npm、PyPI 等不同生态。系统会将具有关联关系的恶意组件聚合为同一事件进行通报。
Q：重大漏洞通报中的漏洞一定影响当前项目吗？
不一定。重大漏洞通报用于展示源盾重点监控的严重、高危且有利用信息的漏洞，不以当前项目是否拉取过相关组件为前提。是否影响当前项目，应以“影响当前项目”中的匹配结果为准。
Q：漏洞存在利用信息，是否表示当前项目已经被攻击？
不是。利用信息表示该漏洞可能已经存在公开的验证方法、利用代码或相关攻击情报，只能说明漏洞的现实利用风险更高，不代表当前项目已经遭受攻击。
Q：风险通报中的组件是否会被自动阻断？
风险通报用于提示新增风险及其对历史组件的影响，不直接决定组件是否被阻断。组件拉取时是否放行，由当前生效的安全策略和监控规则决定。
Q：发现当前项目受到影响后应该如何处理？
建议先确认受影响组件版本是否仍在项目中使用，再根据风险详情选择升级至安全版本、替换组件或停止使用。对于存在公开利用信息的高危漏洞及已确认的恶意组件，应优先排查和处置。