Dependency Auditor 是一个面向多语言软件项目的依赖审计与管理技能，类型为 POWERFUL，分类为工程，领域为依赖管理与安全。其目标是提供对项目依赖生态的深入可见性，帮助团队识别漏洞、确保许可证合规、优化依赖树并规划安全升级。
用途 该技能用于分析、审计和管理跨多语言软件项目的依赖。在现代软件开发中，依赖形成复杂网络，可能引入安全、法律和维护风险；一个项目可能包含数百个直接和间接依赖。该技能通过自动化分析和可执行建议应对这些挑战。
主要能力
- 漏洞扫描与 CVE 匹配：针对内置漏洞数据库扫描依赖，匹配 CVE 模式，识别多个生态中的已知安全问题，分析传递依赖漏洞，提供 CVSS 评分与利用评估，跟踪漏洞披露时间线，并将漏洞映射到依赖路径。
- 许可证合规与法律风险评估：许可证分类涵盖宽松许可证（MIT、Apache 2.0、BSD、ISC）、强 Copyleft（GPL、AGPL）、弱 Copyleft（LGPL、MPL）、专有、双许可和未知/不明确许可证；检测不兼容的许可证组合、提示宽松项目中的 GPL 污染、分析依赖链中的许可证继承、提供分发合规建议并生成法律风险矩阵。
- 过时依赖检测：识别可用更新并按补丁/次要/主要版本分类，检测可能过时的固定版本，分析语义化版本模式，识别浮动版本说明符，跟踪发布频率与维护状态，识别被放弃或无维护的包以及已知生命终止日期的包。
- 依赖膨胀分析：识别未实际导入或使用的依赖，分析导入语句与使用模式，检测功能重叠的冗余依赖和超大包，映射实际使用与声明使用的差异；识别提供相似功能的多个包、传递依赖中的版本冲突、依赖对包体积的影响以及整合机会。
- 升级路径规划与破坏性变更风险：分析 semver 模式预测破坏性变更，识别安全升级路径，标记需关注的主要版本更新，跟踪破坏性变更，提供回滚策略；按风险分类（低/中/高/严重），并按优先级排序（安全补丁最高、Bug 修复高、功能更新中、重大重写计划性、弃用功能立即关注）。
- 供应链安全：验证包签名与校验和，分析下载来源与镜像，识别可疑或被入侵的包，跟踪包所有权与维护者变更，检测域名仿冒和恶意包；映射完整依赖树，识别高风险传递依赖，分析依赖深度与复杂度，提供供应链风险评分。
- 锁文件分析与确定性构建：确保锁文件与清单同步，验证完整性哈希与版本一致性，识别环境间漂移，分析锁文件冲突与解决策略，确保可复现构建；比较 dev/staging/prod 环境依赖，识别团队成员间版本不匹配，验证 CI/CD 环境一致性。
多语言支持 JavaScript/Node.js（package.json、package-lock.json、yarn.lock）、Python（requirements.txt、pyproject.toml、Pipfile.lock、poetry.lock）、Go（go.mod、go.sum）、Rust（Cargo.toml、Cargo.lock）、Ruby（Gemfile、Gemfile.lock）、Java/Maven（pom.xml、gradle.lockfile）、PHP（composer.json、composer.lock）、C#/.NET（packages.config、project.assets.json）。
技术架构
- 扫描引擎（dep_scanner.py）：支持 8+ 包生态的多格式解析器，内置 500+ CVE 模式的漏洞数据库，从锁文件解析传递依赖，支持 JSON 和人类可读输出，可配置扫描深度与排除模式。
- 许可证分析器（license_checker.py）：从包元数据和文件检测许可证，包含 20+ 许可证类型的兼容性矩阵，具备冲突检测引擎和修复建议，基于分发和使用场景进行风险评分，可导出供法务审查。
- 升级规划器（upgrade_planner.py）：语义版本分析与破坏性变更预测，基于风险和相互依赖进行依赖排序，提供迁移清单与测试建议、回滚流程和升级周期时间估算。
使用方式 快速开始示例命令： python scripts/dep_scanner.py /path/to/project python scripts/license_checker.py /path/to/project --policy strict python scripts/upgrade_planner.py deps.json --risk-threshold medium
CI/CD 集成示例： python dep_scanner.py /project --format json --fail-on-high python license_checker.py /project --policy strict --format json
定时审计示例： ./audit_dependencies.sh > weekly_report.html python upgrade_planner.py deps.json --timeline 30days
开发工作流示例： python dep_scanner.py . --quick-scan python license_checker.py . --warn-conflicts 更多详细用法见 README.md。
高级功能 支持自定义漏洞数据库（内部/专有漏洞源、自定义 CVE 模式、组织特定风险评分、与企业安全工具集成）；基于策略的扫描（按项目类型配置许可证策略、自定义风险阈值与升级规则、自动化策略执行与通知、已批准违规的例外管理）；报告与仪表盘（面向管理层的执行摘要、面向开发团队的技术报告、趋势分析与依赖健康指标、与项目管理工具集成）；多项目分析（组合级依赖分析、共享依赖影响分析、组织级许可证合规、跨项目漏洞传播）。
适用场景 安全团队：漏洞管理、事件响应、供应链监控、合规报告。法务与合规团队：许可证审计、风险评估、尽职调查、策略执行。开发团队：依赖卫生清理、升级规划、性能优化、技术债务管理。DevOps 与平台团队：构建优化、安全自动化、环境一致性、发布管理。
最佳实践与指标 扫描频率建议：安全扫描每日或每次提交，许可证审计每周或每月，升级规划每月或每季度，完整依赖审计每季度。风险管理建议：优先处理高/严重 CVE，合规优先，渐进式更新，充分测试，持续监控。团队工作流：指定依赖安全负责人、新依赖强制审查、定期更新周期、维护文档、定期培训。指标涵盖安全（MTTP、高危漏洞数、漏洞依赖百分比）、合规（合规百分比、冲突数、解决时间、违规频率）、维护（最新依赖百分比、平均依赖年龄、弃用依赖数、升级成功率）、效率（包体积减少、未使用依赖消除率、构建时间改进）。
限制与说明 资料未提供该技能的具体收费、价格、平台支持范围、实际效果评测或独立第三方验证信息；部分示例中引用的脚本与命令为文档给出的用法示例，实际运行环境与依赖需以项目 README.md 为准。常见问题包括误报调优、许可证不明确、破坏性变更管理和大型代码库扫描性能优化，文档给出了相应的解决策略。