用途：用于评审依赖升级类 PR（如 Renovate、Dependabot 生成的更新），产出可审计、可复用的调研笔记与明确结论，避免每次评审标准不一。
主要能力：自动从 PR 提取包名与版本范围（from → to）、changelog/发布说明链接、CI 状态、变更文件与依赖生态、已有顶层评论与评审线程状态；并行做安全、代码质量、影响三类分析；综合出建议、理由、置信度、后续事项和面向维护者的明确动作提示；上下文已知时可列出候选依赖 PR 供选择。
使用方式：先确认目标仓库与 PR 编号（或 URL，或包含包名、版本变化、变更文件、CI 状态的 PR 摘要），必要时从 references/questions.md 取精简追问。在支持技能内顾问的运行时，先运行 agents/target-pr-advisor.md 定位 PR，再用 agents/research-advisor.md 建立共享证据包，并行运行 security-advisor、code-quality-advisor、impact-advisor，随后经 verdict-advisor 汇总结论；仅当需要改分支时才走 source-control-advisor。不支持时按同样顺序内联执行。
适用场景：依赖升级 PR 评审、判断某个库升级是否可合入、Renovate/Dependabot PR 检查。不适用于功能 PR 或应用代码评审、依赖自动化/机器人配置、组织级依赖策略决策，以及未经用户确认的批准或合并。
限制与约束：该技能可修改分支，仓库本地工作流指令优先。不得在无用户明确确认时合并或批准；不得将基分支合并进 Dependabot/Renovate PR 分支（刷新时应 rebase）；不得在有多个候选时猜测目标 PR；实时 PR 上须先发调研检查点评论、再发最终结论评论；不得声称 CI 通过或安全无虞而未核实实际状态；不得泄露密钥或令牌；不得为方便而忽视安全关切；不得编造 changelog 或版本信息。所有评估须附证据（changelog、CVE、CI 状态链接）。