給不寫程式的負責人
系統裡別人寫的零件出問題，第一時間用白話告訴你
現在的軟體大多是用開源套件組起來的。SupplyGuard 連上你的 GitHub，列出系統實際用了哪些套件，找出有已知漏洞或被人動過手腳的那幾個，排好先後、用中文說明。專業版每天持續比對，有新風險就主動傳 LINE 或 Email 給你。
為什麼需要
答不出用了什麼
設定檔宣告的套件只有幾十個，實際裝進去的常常上千個，多出來的是套件自己又帶進來的。以我們自己的系統實測：宣告 89 個，光 Node 端就裝了 1,013 個。
警告多到看不完
全世界平均每天新增約 90 則漏洞公告。一般工具把每一則都列給你，真正該先補的那幾個被淹沒在清單裡。
嚴重度不等於真的危險
已知漏洞約 28.8 萬個，美國資安主管機關確認真的有人拿來攻擊的只有 1,662 個，大約 173 個裡面 1 個（2026 年 8 月統計）。
怎麼運作
- 1
盤點
讀取程式庫裡的依賴鎖定檔，列出每個套件和版本，包含間接帶進來的。可以匯出標準格式的零件清單（SBOM）。
- 2
比對
比對公開漏洞資料庫和已知惡意套件清單，版本要對得上才算，不會因為名字一樣就亂報。同時分出哪些套件會跟著上線執行、哪些只在開發建置時用到。
- 3
排序
照「真的會被攻擊的機率」排先後，採用業界標準 EPSS；套件如果被人動了手腳、偷塞惡意程式，不看分數直接排最急。每一則都用中文標出有多急、建議怎麼處理，也可以下載一份白話的健檢報告，直接轉給老闆。
- 4
通報與修補
有新的高風險，直接傳到 LINE、Email、Jira 或你指定的系統。專業版還能產生修補草稿，用 PR 送到你的 GitHub 並跑過你原本的自動測試，要不要合併由你的工程師決定。
適合誰
中小企業主管
系統交給外包或小團隊寫，自己不看程式。想隨時知道系統安不安全，出了新的漏洞，第一時間有人通知、有人處理。
外包軟體公司
交件時附上零件清單和風險清單，讓客戶看到你有在管；維護期間出了新漏洞，系統先通知你。合作方案請聯絡我們。
價格
專業版
NT$1,990／月，年繳
- 最多 5 個程式庫
- 每天自動比對新公布的漏洞
- 推送程式碼時重新檢查
- LINE、Email、Jira、Webhook 主動通報
- 自動修補草稿（以 PR 送出）
- 健檢報告（PDF），含給客戶的夥伴版
以上價格皆為未稅價，另加 5% 營業稅。目前以銀行匯款付款，入帳後開通，開立統一發票。
常見問題
需要懂程式嗎？
不需要。風險清單用中文寫出每一項有多急、建議怎麼處理；健檢報告再用白話說明重點項目是什麼、影響什麼，可以直接轉給老闆。專業版的主動通報也會用白話說明。要動手修的部分，再轉給你的工程師或外包。
會改到我的程式嗎？
不會自己改。只有你按下自動修補時，才會開新的分支和 PR，不會合併，也不會動到主分支。GitHub 的授權畫面會列出讀寫程式碼與 PR 的權限，寫入只用在自動修補；掃描只讀取套件鎖定檔，和 Dockerfile 這類宣告語言版本的設定檔。授權可以只選特定程式庫，隨時能在 GitHub 移除。
跟 GitHub 內建的 Dependabot 差在哪？
Dependabot 是給工程師的工具，警告留在 GitHub 裡、用英文、依官方嚴重度標示。SupplyGuard 給負責人用：照真的會被攻擊的機率排先後、用中文說明、主動推到 LINE 和 Email，不用每天登入去看。
支援哪些程式語言？
讀的是程式庫裡記錄套件確切版本的鎖定檔：JavaScript（package-lock.json、yarn.lock、pnpm-lock.yaml）、Python（poetry.lock、Pipfile.lock，以及用 == 鎖定版本的 requirements.txt）、PHP（composer.lock）、Java（pom.xml、gradle.lockfile）、Go、Rust、Ruby。Gradle 專案要開啟 dependency locking 才會有 gradle.lockfile。程式庫需要放在 GitHub。也會讀 Dockerfile、composer.json、.nvmrc 這類檔案裡宣告的 PHP、Node.js、Python、Ruby 版本，比對語言本身的已知漏洞。程式庫看不到伺服器實際跑的版本，所以除非 Dockerfile 寫死完整版本，這類結果都會標成「需要確認」。不包含伺服器與作業系統，以及 WordPress 外掛。
免費版之後會自動收費嗎？
不會。免費版不綁信用卡;專業版是年繳一次付清,不會自動續扣,到期前會寄信提醒你續約。
付款後可以退款嗎?
專業版付款後 7 天內、還沒使用過自動修補,可以全額退款;韌體掃描沒用掉的份數也可以退。超過 7 天不退款,服務會用到到期日。詳見服務條款與退款政策。