dependencies-audit

用途：在修复 Dune 应用依赖问题时使用，并对指定 $ARGUMENTS（未提供则用根 package.json）执行依赖审计与修复，最终产出评审流程要求的 review-packages.md。主要能力与步骤：一、列出全部 dependencies 与 devDependencies 并记录数量，示例：node -e "const pkg = require('./package.json'); ..."。二、查询 npm 元数据（最新版本、周下载量、最后发布时间、废弃标记），用 npm view <package-name> --json 与 curl -s "https://api.npmjs.org/downloads/point/last-week/<package-name>"；更新过时包用 pnpm update <package>@latest 或 pnpm update <package>，更新后运行 pnpm install 与 pnpm run build 验证，破坏构建则回退并标记人工修复。三、运行 pnpm audit --json 与生产审计，执行 pnpm audit fix；无法自动修复的高危/严重 CVE 手动升级到修复版本，传递依赖可用 package.json 中的 pnpm.overrides 强制指定版本，如 { "pnpm": { "overrides": { "vulnerable-package": ">=2.1.0" } } }。四、按周下载量、更新时间、是否废弃、是否有 CVE 给出 Pass/Warn/Fail 健康分，替换失败项；@cognite/* 可信，@types/* 关注版本匹配，新发布包标记 Warn。五、检查安装脚本等供应链风险并评估替换。六、用 npx license-checker --summary 检查许可证兼容性，不兼容时替换。七、应用修复后重跑元数据，生成包含依赖表、安全审计、许可证汇总、供应链标记的 review-packages.md。八、报告已修复与剩余需人工处理项并给出整体结论。限制：仅适用于 Dune 应用与 Node 包管理场景；命令依赖 npm、pnpm 与网络访问；重大版本更新或个别许可证需人工判断，资料未提供具体修复清单。