用途：对项目依赖做安全、合规与可维护性审计。扫描依赖清单与锁文件，覆盖 JavaScript/Node.js、Python、Go、Rust、Ruby、Java、PHP、C#/.NET 等生态，匹配内置 CVE 数据库并给出 CVSS 评分；按宽松、弱 copyleft、强 copyleft、专有、未知分级识别许可证并检测不兼容组合；按 patch/minor/major 分类过期更新，标记废弃或终止维护的包；分析冗余、未使用及体积过大的依赖；生成含 semver 破坏性变更预测、风险矩阵、优先级与回滚策略的分阶段升级计划；检查供应链风险与锁文件完整性。
主要工具与用法：python scripts/dep_scanner.py /path/to/project --format json --fail-on-high 用于漏洞扫描；python scripts/license_checker.py /path/to/project --policy strict --warn-conflicts 用于许可证检查；python scripts/upgrade_planner.py deps.json --risk-threshold medium --timeline 30 用于升级规划。
适用场景：发布或并购尽调前的许可证合规检查、为 CI/CD 添加依赖安全门、清理冗余依赖、规划安全的分阶段升级。
限制：内置漏洞库是代表性集合，不实时查询 NVD、OSV 或 GitHub Advisory；不扫描容器镜像或系统级包；不自动创建依赖更新 PR；仅做静态清单与锁文件解析，不做运行时或动态导入追踪。运行前建议先确认项目路径与生态、审计重点及许可证策略与失败阈值。