用途：跨生态系统扫描项目依赖，发现 CVE、过期包、许可证合规问题与供应链风险，是 loom-security-scan（快速预提交/CI 扫描）和 loom-security-audit（方法论/合规）的深度依赖补充。
主要能力：枚举清单与锁文件，区分直接与传递依赖；对照公告库扫描 CVE，记录严重性、受影响/修复版本与依赖路径；评估可达性（govulncheck、Snyk 支持，npm audit 不支持）；给出最小安全升级路径；生成 SBOM；检查许可证；识别供应链攻击风险。
使用方式：按生态运行扫描命令，如 npm audit --audit-level=high、osv-scanner -r .、pip-audit、cargo audit、govulncheck ./...、bundle audit --update、mvn org.owasp:dependency-check-maven:check、dotnet list package --vulnerable --include-transitive、composer audit。SBOM 可用 syft . -o spdx-json > sbom.spdx.json 或 trivy image --format spdx-json myimage:tag 生成，再用 grype sbom:./sbom.cdx.json 复查。许可证可用 npx license-checker --onlyAllow 'MIT;Apache-2.0;BSD-2-Clause;BSD-3-Clause;ISC' 或 cargo deny check licenses 检查。
适用场景：CI/预提交安全扫描、发布前依赖审计、供应链风险排查、许可证合规检查、SBOM 生成与事件响应。
限制：审计工具只能看到锁文件固定的内容，未固定的版本范围在 CI 中可能解析不同；应扫描已提交的锁文件，清单变更后先重新生成。可达性分析并非所有工具都支持。供应链攻击防御是结构性的，不能只靠运行审计。具体收费、平台支持等信息暂未提供。