用途
dependency-audit 是一个用于审计第三方依赖的知识库技能，隶属于 acaprino/daodan。其目标是在不臆造事实的前提下完成依赖审计。实际执行由 /dependency-audit:deps-audit 命令编排，而本技能负责承载审计的深度内容，并将这些内容拆分为可按需加载的参考文档。
主要能力
核心原则
工具优先：审计过程运行各生态自带的工具，并读取注册表与漏洞咨询数据库（OSV、GitHub Advisories、RustSec、PyPA）。它不会用伪代码重新实现扫描器，也不会去猜测某个工具会给出什么结论。
证据分级：每一条被报告的结论都被标注为“工具报告（TOOL-REPORTED）”、“推断（INFERRED，需说明推导过程）”或“未知（UNKNOWN，需说明解决它所需要的信息）”。任何形式的编造数量都被禁止：不提供预估工时、不编造百分比、不虚构金额数字。
非破坏性修复：不使用 --force，不进行未经批准的跨大版本升级，不重新生成 lockfile，不在未先展示拟议变更、其兼容性风险以及测试与回滚计划的情况下替换依赖。
许可证即义务：许可证分析要回答的是，在项目如何组合与分发该依赖的前提下，该依赖的许可证施加了哪些义务。二元式的“X 与 Y 不兼容”表格错误率过高，因此被禁用。
诚实覆盖：缺失的工具与无法访问的注册表会作为覆盖缺口被报告，并附上安装命令，而不是被掩盖过去。
使用方式
该技能通过 /dependency-audit:deps-audit 命令进行编排调用。技能的核心内容按需加载参考文档：
- references/ecosystems.md：在为任意生态选择或运行审计、过期检查或许可证工具，或解析其输出时加载。
- references/license-analysis.md：在撰写任何许可证发现、对 SPDX 标识符进行分类，或回答 copyleft 相关问题时加载。
- references/supply-chain.md：在评估供应链风险信号，或审查依赖差异以发现篡改迹象时加载。
适用场景
适用于需要审计第三方依赖、检查过期依赖、进行许可证义务分析与供应链风险审查的开发与安全流程中，尤其是要求结论可追溯、不编造数据的场景。
限制
关于支持的生态完整列表、安装命令、具体漏洞数据库覆盖范围、工具依赖前提、价格与收费方式、平台支持情况等信息，资料中暂未提供。此外，资料未提供该技能对具体编程语言或包管理器的完整支持清单，也未说明其运行时环境要求。