用途：面向软件供应链安全，对应 OWASP A03:2025 软件供应链失效，覆盖依赖管理、SBOM 生成、包完整性验证与 CI/CD 安全。
主要能力：依赖审计（npm audit、pip-audit、safety、OWASP Dependency Check、snyk test）；锁文件与确定性安装（npm ci、yarn/pnpm --frozen-lockfile、pip --require-hashes、poetry install --no-root）；SBOM 生成（CycloneDX、SPDX、syft）；包完整性（SRI、npm audit signatures、--ignore-scripts）；CI/CD 安全（GitHub Actions 固定 SHA、最小权限、签名提交、密钥不 echo）；Dependabot 配置。
使用方式：按语言执行对应审计命令，CI 中使用锁文件安装，发布时生成 SBOM，并启用自动化依赖更新。
适用场景：依赖漏洞排查、构建可复现、发布透明度、CI/CD 加固。
限制：不适用于许可证合规（用 license-compliance）、依赖中的密钥（用 secrets-management）、应用层漏洞（用 owasp-top-10）、Git/GitHub 操作（用 Git 技能）。