依赖安全审计

要解决什么问题

现代项目往往依赖成百上千个直接与传递包，安全公告、许可证变更和维护停滞会叠加成供应链风险。手工对照 CVE 与 SPDX 既不完整，也难给出可执行的升级顺序。

技能如何工作

本技能以依赖安全审计为重心，在具备依赖清单（如 package-lock.json、go.sum、requirements.txt 等）的前提下：

• 盘点依赖树：区分直接依赖与传递依赖，避免漏扫深层包。
• 漏洞与许可证扫描：识别已知 CVE、许可证冲突及不合规用法。
• 优先级排序：结合严重等级与实际暴露面（是否在生产路径、是否可被利用）确定修复顺序。
• 升级建议：给出版本升级路径，并说明与现有代码/运行时的兼容性注意点。

需要更细的工具链、报告模板或分步流程时，可参照技能内的 resources/implementation-playbook.md。

适用边界与注意点

• 项目没有可解析的依赖清单，或团队无权变更依赖时，不适合启用本技能。
• 任务与依赖管理无关（例如纯业务逻辑重构）时请勿使用。
• 安全：勿将含敏感漏洞细节的完整报告发布到公共渠道；在生产部署前，应在预发布环境验证升级与回归。