用途：对 Maven、Node、Python、Rust 依赖做 CVE 扫描与发布前门禁，自动检测生态并编排对应扫描器；检测到语言但无原生生态映射时自动落通用兜底（trivy fs --scanners vuln），原生生态存在时不并行兜底。
主要能力：--severity 阈值语义为“该级别及以上”，各扫描器一致（maven 按 CVSS 下界换算，HIGH⇒7）；--fix 仅在 npm 生态自动修复（npm audit fix），其余输出修复指引；--json 输出结构化证据；退出码三态 0 通过 / 1 无法验证 / 2 存在漏洞 / 3 参数错误或检查未完成。
用法：Legacy Python 引擎如 bin/codeguard cve、bin/codeguard cve --ecosystem node、bin/codeguard cve --fix、bin/codeguard cve --severity MEDIUM、bin/codeguard cve --json path/。Rust 组件用位置参数选生态，如 codeguard cve typescript [path] --node-tool ABS_PATH…、codeguard cve rust [path] --cargo-audit-tool ABS_PATH --db ABS_PATH、codeguard cve python [path] --pip-audit-tool ABS_PATH…，且无 --severity/--fix/--json，对质量路径固定返回未完成（退出码 3），不能据此签发“无漏洞”结论。
前提：Maven 需 mvn 与网络（建议 NVD_API_KEY）；Node 需 npm 与 package-lock.json；Python 需 pip-audit；Rust 需 cargo-audit；兜底需 trivy。
限制：不覆盖镜像内 OS 包 CVE、Dockerfile misconfig 与豁免策略制定；无 lockfile 时扫描结果可能偏离真实解析版本；数据源不可用应记为 UNVERIFIED 而非零漏洞；缓解不等于修复，抑制需责任人、误报依据与到期日；依赖名与版本可能被发送至外部漏洞数据源，不上传源码、凭据或私有包内容。