用途：在导入或添加任何新包之前，批量评估依赖是否存在已知安全问题，输出可执行的处置建议（ALLOW、CAUTION、BLOCK）。
主要能力：调用 Open Source Insights（deps.dev）的 Findings API，对一批包版本查询活跃的安全公告与漏洞。输入为依赖数组，每项包含 system（生态名，须大写：NPM、PYPI、MAVEN、GO、CARGO、NUGET、RUBYGEMS）、name（规范包名，如 Maven 的 org.apache.logging.log4j:log4j-core，PyPI/NuGet 使用规范化小写）和 version（明确版本字符串，可缺省）。仅在确知精确版本时设置 version；若只知道版本范围（如 ^1.0.0）则不应设置该字段。
使用方式：将依赖列表映射为单个 JSON 批量请求对象，所有条目放入 requests 数组，使用 versionKey 或 packageKey。随后用 curl 执行 HTTP POST 查询： curl -s -X POST https://api.deps.dev/v3alpha/findingsbatch -H 'Content-Type: application/json' -d '{ "requests": [ { "versionKey": { "system": "NPM", "name": "express", "version": "4.17.1" } }, { "packageKey": { "system": "PYPI", "name": "requests" } } ] }'
适用场景：在采纳新依赖前进行安全预检，或对已有依赖清单做批量审计。
限制：未出现在结果中的依赖并不代表 100% 安全，应视为风险等级未知。该扫描器只能检测已知问题，无法保证绝对安全，必须明确说明这一点。其他收费、平台或效果信息暂未提供。