技能介绍

要解决的问题

Python 包管理生态里，评估一个依赖包往往需要打开多个页面：元数据在 PyPI，依赖关系要看 requirements 或项目仓库，历史版本回溯又得翻 changelog。更麻烦的是安全审计，开发者通常要等到 CI 失败或事故复盘时才意识到某个传递依赖已经进了 CVE 列表。这种信息割裂会让技术选型、升级评估和事故排查都变得低效。

核心能力与工作流程

这个技能把三类查询收敛成一条分析链路：

元数据与版本历史：直接调用 PyPI JSON API，读取包名、摘要、作者、许可证以及全部 release 版本，适合快速确认维护活跃度和兼容性窗口。
依赖树分析：通过 libraries.io API 获取跨仓库的依赖关系，覆盖直接依赖与间接依赖，帮助判断引入某个包会牵连多少下游项目。
漏洞扫描：调用 pip-audit，以当前解析出的依赖集为输入，查询 OSV 数据库，输出已知漏洞及其修复版本。

适用边界与注意点

它适合离线分析与 CI 预检，但有几个限制需要留意：PyPI 与 libraries.io 的查询受上游速率限制约束，批量扫描大量包时要控制请求频率；pip-audit 需要本地或运行环境中有可解析的 requirements.txt 或虚拟环境，纯元数据查询不涉及安装包；漏洞结果依赖 OSV 数据源的更新时间，新披露的 CVE 可能存在滞后。