audit-fix

用途：自动化处理 monorepo 中的 pnpm 安全审计修复，能修则修，不能修则报告。\n\n主要能力（分阶段）：1）用 pnpm audit --json 记录修复前状态，含通告数、严重级别分布、包名、修复版本和依赖路径。2）修复直接依赖：检查漏洞包是否为某工作区 package.json 的直接依赖，用 pnpm outdated <package> 确认可升级后用 pnpm install 应用；major 版本升级需先询问用户，minor 和 patch 可直接升级。3）修复传递依赖：对仍有补丁版本、且不在 scripts/pinned-overrides 中的包，在根 package.json 的 pnpm.overrides 添加 overrides。必须使用带作用域的父包 > 子包选择器，禁止全局无作用域 overrides，禁止使用 >=，优先用 ^，跨 major 时使用固定版本；glob（如 @scope/**>dep）不可靠，须写显式包名；已有 override 的包跳过。多路径需为每个直接父包分别添加。添加后迭代运行审计，用 pnpm install --lockfile-only --ignore-scripts 应用。4）运行 bash scripts/check-overrides.sh 清理失效 overrides 并重建锁文件。5）再次审计，输出前后对比摘要（总数、各级别数量、升级依赖、新增与移除的 overrides、剩余无法修复项及原因）。\n\n限制与规则：不得删除直接依赖，只可升级版本；不为 npm: 别名替换添加 overrides；不覆盖被钉住（pinned）的包；major 升级需先询问；结尾运行 pnpm install 同步 node_modules；不自动提交，保留改动供用户审查。具体支持的包管理器和平台范围、收费与许可信息暂未提供。