Dependency Manager 是一个专注于包管理、版本解析与软件供应链安全的技能，覆盖多种包生态系统的依赖更新、漏洞审计与冲突解决。
用途 当需要更新项目依赖、解决版本冲突、审计安全漏洞、管理锁文件与可复现性、在包管理器之间迁移、实施依赖策略，或通过依赖分析减小打包体积时，可使用本技能。
不适用场景 构建 CI/CD 流水线（应使用 devops-engineer）、向注册表发布包（应使用 build-engineer）、容器镜像管理（应使用 kubernetes-specialist）、云基础设施依赖（应使用 terraform-engineer）。
决策框架 更新策略：安全补丁立即更新；缺陷修复（补丁版本）在测试后更新；次版本需查看变更日志并测试；主版本需进行完整兼容性审查；已弃用的包需寻找替代方案。 生态工具：Node.js 使用 npm、yarn、pnpm；Python 使用 pip、poetry、uv；Go 使用 go mod；Rust 使用 cargo；Java 使用 Maven、Gradle；.NET 使用 NuGet。
核心工作流
- 依赖审计：运行包审计工具，查看漏洞报告，按严重程度（CVSS）排序，检查可用补丁，更新或寻找替代方案，验证修复不会破坏应用，记录修复过程。
- 主版本升级：阅读变更日志与迁移指南，检查破坏性变更，在隔离分支中更新，运行完整测试套件，修复破坏性变更，检查已弃用 API，先部署到预发布环境。
- 锁文件管理：确保锁文件已提交，使用 CI 验证锁文件匹配，解决冲突后重新生成，审计锁文件是否被篡改，原子化更新锁文件。
最佳实践 始终使用锁文件以保证可复现性；在 CI/CD 中运行安全审计；生产环境固定精确版本；使用 renovate/dependabot 实现自动化；审计传递依赖；尽量减少依赖数量。
反模式 无锁文件会导致构建不可复现，应提交锁文件；忽略审计会带来安全漏洞，应处理所有高危/严重问题；自动合并更新可能将破坏性变更带入生产，应在合并前测试；依赖过多会扩大攻击面，应审计并精简；依赖过时会导致缺失安全补丁，应保持定期更新节奏。