用途：审计项目依赖中的漏洞与供应链风险，对应 OWASP Top 10 2021 A06（易受攻击和过时的组件），映射 CWE-1035、CWE-1104、CWE-937，可触发于“检查漏洞依赖”“审计依赖”“查找过期包”“扫描 CVE”等请求。
主要能力：分析直接与传递依赖中的已知 CVE、废弃或长期未维护的包、未固定的版本约束（^、~、*、>=）、缺失的锁文件、名称近似仿冒的包、过多的传递依赖、非默认源包以及落后多个大版本的情况。覆盖 Node.js、Python、Go、Rust、Java、Ruby、PHP、.NET 及容器相关清单与锁文件。
使用方式：按范围解析清单与锁文件，优先检测并调用可用扫描器——npm audit --json、pip-audit --format json、trivy fs --format json --scanners vuln <target>、osv-scanner --format json -r <target>、cargo audit --json（需在正确工作目录运行），将结果归一化为 findings schema；随后由 Claude 用 Grep 与 Read 补充扫描器遗漏的配置与供应链检查，再按包名与版本去重合并。支持标志：--scope（默认 changed）、--depth（默认 standard，deep 追踪传递依赖树）、--severity（默认 all）、--format（text、json、sarif、md）、--fix、--explain。
输出：以 DEP 前缀编号（如 DEP-001），按已知 CVE、未固定版本、缺失锁文件、废弃包、仿冒候选、过多依赖分组，附严重度汇总表、类别计数表、前三大优先级、建议升级命令与整体依赖健康评估。
限制：CVE 检测高度依赖外部扫描器，若无可用扫描器，仅能做配置层面的分析（未固定版本、缺失锁文件等），CVE 结论只能给出低置信度，并会提示安装 npm audit、pip-audit、trivy 或 osv-scanner 之一。其他具体收费、价格与平台信息暂未提供。