用途：在引入开源依赖前评估包的健康状况，回答“是否该用这个包”“某包是否维护良好”等问题。
主要能力：解析用户输入中的包名（必需）、版本（可选）和对比包（可选）；检查漏洞与风险，优先使用 check_dependency_for_risks MCP 工具（同时检查漏洞和恶意软件），不可用时回退到 check_dependency_for_vulnerabilities；支持 npm、python、go、java、maven、rust、dotnet、ruby、php 生态。
获取指标：通过 CLI 查询 OSS 命名空间，例如 npx -y endorctl api list --resource PackageVersion -n oss --filter "meta.name=={ecosystem}://{package}@{version}" 2>/dev/null，再用包 UUID 查询 package_version_scorecard 指标；也可用 get_resource MCP 工具。
结果呈现：给出总分（X/10）及活动度、流行度、安全性、质量四类细分，并附漏洞历史表（CVE、严重程度、修复版本、日期）。推荐阈值：8 分及以上推荐用于生产；6-7 可接受但需监控；4-5 谨慎使用并考虑替代；低于 4 不推荐。
扩展：可按需进行版本对比（CVE、评分、发布日期）和包对比（总分、活动度、流行度、安全性、质量、CVE 数量、许可证），并给出带理由的推荐。后续可衔接 /endor-check、/endor-upgrade-impact、/endor-scan。
限制：包未找到时需检查名称或生态，OSS 命名空间可能未收录，不应使用外部站点；指标不可用可能因包过新或过小；认证错误需运行 /endor-setup。数据源策略见 references/data-sources.md。