用途：这是一个面向 npm 包调研的自动化技能，帮助在升级依赖前了解变更日志、安全公告、破坏性变更与兼容性影响，并生成依赖评审用的调研摘要。
主要能力：
- 获取包元数据：用 npm view PACKAGE --json 获取当前版本与标签、全部已发布版本与日期、维护者、仓库、依赖与 peer 依赖、关键词、主页和下载量；也可用 npm view PACKAGE version 或 npm view PACKAGE versions --json | jq '.[-1]' 取版本信息。
- 变更日志调研：从 npm registry 的 readme 中检索 changelog/release/history；从 GitHub Releases 拉取（gh api repos/${REPO_URL}/releases --paginate）；或用 npm view PACKAGE time --json 查看发布时间线，也可手动访问 npmjs.com 的 Versions 页与仓库 Releases。
- 安全漏洞调研：使用 npm audit --package-lock-only、npm audit --audit-level=moderate 检查本地项目；也可参考 Snyk、CVE 数据库、GitHub Security Advisories、OWASP Dependency Check 等第三方资源，并查看仓库 issues/security 与 SECURITY.md。
- 破坏性变更调研：通过 semver 主版本变化、GitHub tags 与 compare（gh api repos/${REPO}/compare/VERSION1...VERSION2）、CHANGELOG.md 检索 BREAKING CHANGE、⚠️、移除导出、配置变更等信号。
- 依赖影响分析：在临时目录安装并对比新旧版本的依赖树，识别新增、移除与版本冲突；检查 peerDependencies 是否满足。
- PR 调研：用 gh pr list、gh pr view、gh pr diff 查看发布说明中提到的 PR、破坏性变更相关 PR 及代码级改动。
使用方式：按需组合上述 npm 与 gh 命令，并套用资料中的结构化调研模板（发布信息、变更摘要、破坏性变更、安全公告、依赖变化、PR 评审、代码影响、风险等级与建议）。在 Fusion Framework 中，该技能可接入 dependabot-pr-handler 的依赖调研步骤，并与 pnpm-dependency-analysis 配合评估工作区影响。
适用场景：依赖升级前评估、漏洞排查、版本间破坏性变更理解、依赖评审摘要生成、兼容性验证、发布历史与维护状态检查。
限制与注意事项：需本地具备 npm 与 gh CLI 及相应访问权限；部分包未发布 changelog 或未关联仓库，信息可能缺失；安全数据需交叉核对 npm、GitHub 与 CVE 来源；升级前应先用 --dry-run 或在隔离环境测试；注意检查弃用状态与 peer 依赖兼容性。资料未提供该技能的收费、价格与具体平台支持信息。