用途：对仓库做供应链安全审计，盘点各生态系统的依赖清单与锁文件，识别供应链弱点并给出带证据的结论。
主要能力：覆盖 npm/yarn/pnpm、pip/poetry/uv、Go、Maven/Gradle、NuGet、Composer、Bundler、Cargo 等；静态评估版本风险（EOL 运行时、已知问题包）；检查锁文件卫生（缺失、清单/锁文件漂移、无来源的 vendor 树、浮动子模块）；排查拼写仿冒与安装脚本面；评估 pinning 姿态；审计 CI/CD 逻辑（pull_request_target 泄密、脚本注入、第三方 action 未 SHA 固定、自托管 runner、制品篡改、缓存投毒前置条件）；检查 SBOM、签名、基础镜像陈旧等构建完整性问题。
使用方式：从仓库根运行其提供的 bash 盘点脚本，列出清单、锁文件、安装脚本、Dockerfile 的 FROM 行与工作流 uses: 行，再按生态对照官方扫描器矩阵执行（如 npm audit、pip-audit、govulncheck ./...、mvn org.owasp:dependency-check-maven:check、dotnet list package --vulnerable、composer audit、bundler-audit、cargo audit）。离线仅对确定事项下结论，其余标记 Needs-Review；finding 状态为 Confirmed > Probable > Needs-Review。
适用场景：仓库供应链安全自查、CI 工作流加固、依赖与容器基线审查。
限制：多数扫描器需要网络；不得凭空猜测版本区间或漏洞；运行时不涉及容器逃逸、密钥存储卫生与应用层注入 sink；具体安装命令与输出能力以实际仓库为准，暂未提供更多细节。