依赖审计与安全分析

问题背景

现代应用往往依赖大量直接包与传递依赖，安全公告、许可证条款和版本滞后会在你未察觉时叠加成生产风险。手工对照 CVE 与 SPDX 既不完整，也很难给出「先升哪个、会不会破坏构建」的优先级。

技能如何工作

本技能以依赖安全审计为主线：先梳理 package.json、requirements.txt、go.mod 等清单中的直接依赖与传递依赖，再运行漏洞与许可证扫描，并按严重程度与暴露面排序修复项。

典型输出包括：

• 依赖概览与风险总结：哪些包、风险集中在哪条依赖链
• 漏洞与许可证问题：已知 CVE、冲突或不合规许可证
• 升级与缓解建议：带兼容性说明的版本路径，必要时给出临时缓解

若需要更细的工具选型与报告模板，可参照技能内的 resources/implementation-playbook.md。

适用边界与注意点

• 项目没有任何依赖清单时，本技能帮不上忙；若你无法修改或锁定依赖版本，审计结论也难以落地。
• 任务与依赖管理无关（纯业务逻辑、UI 文案等）时不应使用。
• 安全：勿将含敏感环境的漏洞细节发到公开渠道；依赖升级应在预发环境验证后再上生产。