使用 cargo audit 检查 Rust 项目依赖安全漏洞，最推荐的方式是在项目根目录运行 cargo audit 命令，该工具会自动扫描 Cargo.lock 文件并与 RustSec 安全数据库比对。
先说结论：cargo audit 是 Rust 生态标准的依赖漏洞扫描工具，适合在开发本地和 CI/CD 流程中定期执行。
- 先判断：确认项目根目录存在 Cargo.lock 文件，这是扫描的基础。
- 优先做：安装工具后直接运行 cargo audit，优先修复高危（Critical/High）漏洞。
- 再验证：修复后再次运行扫描，确保报告清零或风险可控。
命令速用版
以下命令可直接在终端执行，无需额外配置即可开始扫描。
cargo install cargo-audit
cargo audit如需生成 JSON 报告用于 CI 集成，可添加输出参数：
cargo audit `--deny` warnings `--json` > audit_report.json为什么会这样
Rust 项目依赖的第三方 crate 可能包含已知安全漏洞，手动审查每个依赖版本几乎不可能。
cargo audit 通过解析 Cargo.lock 文件，获取所有依赖的确切版本，然后与 RustSec 维护的安全咨询数据库进行比对。一旦发现匹配已知 CVE 的依赖版本，工具会立即报告漏洞 ID、严重程度及修复建议，帮助开发者快速定位供应链风险。
分步处理
- 安装工具：使用 Cargo 包管理器安装 audit 子命令。
cargo install cargo-audit - 执行扫描：进入项目根目录，运行扫描命令。
cargo audit - 自动修复：如果发现漏洞，尝试自动升级到安全版本。
cargo audit fix - 预览更改：在不直接修改文件的情况下查看修复方案。
cargo audit fix `--dry-run` - 二进制扫描：对已编译的二进制文件进行漏洞追溯。
cargo audit bin <binary_path>
怎么验证是否生效
扫描完成后，观察终端输出状态码和报告内容。
- 检查退出码：若存在漏洞，命令通常返回非零退出码，便于 CI 流程拦截。
- 查看报告：确认输出中不再包含 Vulnerability 警告信息。
- JSON 验证：若使用了 `--json` 参数，检查生成的 audit_report.json 文件是否为空或仅含安全信息。
常见坑
- 缺少 Cargo.lock：如果是库项目且未提交 lock 文件，扫描可能无法准确锁定依赖版本，建议提交 lock 文件或先生成它。
- 网络问题：工具需要联网获取最新 RustSec 数据库，网络不通会导致扫描失败或数据过期。
- 自动修复风险cargo audit fix 会升级依赖版本，可能引入 Breaking Change，生产环境建议先运行 `--dry-run` 预览。
常见问题
cargo audit 能检查代码逻辑漏洞吗？
不能，cargo audit 仅扫描依赖包已知漏洞，不分析项目源码逻辑。
扫描结果显示无漏洞但依然不安全怎么办？
可能依赖库存在未披露漏洞或逻辑问题，需结合 cargo clippy 和代码审查综合保障。
如何将扫描集成到 CI/CD 流程？
在构建脚本中加入 cargo audit 命令，设置失败即停止构建，确保每次提交都经过安全检查。
参考来源
- RustSec cargo-audit 终极教程：一键扫描 600+ 依赖漏洞
- Rust 安全审计 awesome-rust:代码安全与漏洞检测工具
- AI 驱动的 Rust 项目依赖安全审计：从漏洞扫描到自动升级建议
- RustSec 与 cargo-lock 的完美结合：深入理解依赖锁文件的 10 个安全要点
- 【Rust 供应链安全紧急预警】:2024 年最值得关注的 5 个安全事件复盘
- 如何用 Clippy 和 Cargo-audit 构建企业级 Rust 安全防线？-CSDN 博客
- spotify-player 的依赖安全扫描：自动化漏洞检测
- 开源 Rust 库被投毒？:揭秘 crate.io 生态中的隐蔽攻击路径