用途：在 JavaScript/TypeScript 仓库中分诊并修复 Dependabot 漏洞告警，覆盖 Node.js 后端服务、浏览器前端、SSR 及 SSR+CSR 框架。支持 npm、pnpm、yarn（classic/berry）、bun；暂不支持 Python、Go、Java、Ruby、Rust、.NET 等生态，遇到非 JS 告警应明确停止或单独处理。
主要能力：检测仓库实际使用的包管理器（含 CI 与容器安装命令）；通过 gh API 获取并去重告警；按 Impact × Exposure × CVSS 排序（CVSS 为 0 或缺失时回退 severity）；读取 advisory 确定首个修复版本与最小补丁版本；提供 Standard（防御式）与 Fast-Track（低风险快速）两种模式；暴露面映射将导入点分类为 Public/API、Client-Bundle、Internal/Dev；Standard 模式抓取 changelog 并标记 BREAKING/DEPRECATED/MIGRATION，需确认后编辑；Fast-Track 跳过 changelog 与详细枚举。两种模式均强制双写 override、重生成锁文件、锁文件一致性校验，失败则中止 PR。
用法：一次性安装 npx skills add akshayrao14/dependabot-triage，重启 agent 会话。触发语如“Triage Dependabot alerts in <repo>”“Bump <pkg> to a non-vulnerable version”。需提供仓库级 Dependabot 安全 URL、仓库路径加告警编号，或已知包名。前置条件：gh CLI 已认证（gh auth status）、本地克隆目标仓库、已安装 node/pnpm/npm、具备推送分支与开 PR 的权限。org 级扇出必须显式确认后才执行。
适用场景：单个仓库或指定包的漏洞修复、开发依赖低风险升级、多包管理器并存的锁文件一致性维护。
限制：不跨大版本升级直接依赖；changelog 命中破坏性关键词需二次确认；Public/API 且 CVSS ≥ 7.0、critical 严重度、跨大版本或 CI 使用宽松安装且无锁文件时，Fast-Track 硬性不适用；不自动删除或替换包、不推送 main、不合并 PR、不跳过 pre-commit 钩子。