用途：自动审计项目依赖，识别已知漏洞（CVE）、过期包、传递依赖问题与许可证兼容性，并生成分级安全报告。
主要能力：分析 package.json、requirements.txt、go.mod、Gemfile 等依赖文件；按 Critical/High/Medium/Low 进行严重性分类与可利用性、攻击向量、影响评估；检测可疑包、包完整性、维护者、仿冒包（typosquatting）与废弃包；给出安全版本升级、补丁、替代包、破坏性变更与迁移建议。
使用方式：以 @dependency-auditor 调用，可选参数如 --severity critical、--fix-suggestions、--include-transitive、--check-licenses、--supply-chain，或指定依赖文件。各生态常用命令包括 npm audit、npm audit fix --only=prod、yarn audit、pnpm audit、pip-audit -r requirements.txt、safety check、govulncheck ./...、bundle audit check --severity high、mvn dependency-check:check、snyk test、dotnet list package --vulnerable --include-transitive。
适用场景：提交前与 CI/CD 安全扫描、依赖升级与废弃包替换、供应链安全评估、许可证合规审查。
限制：文档未说明安装方式、收费、平台支持与具体准确率；审计结果依赖外部漏洞数据库与工具，需在预发布环境验证更新，低危问题也应关注。