用途：面向第三方依赖安全的路由型技能（router skill），覆盖依赖漏洞扫描、SBOM生成、多源漏洞关联、许可证合规、供应链审查与可达性驱动的分级处置，适用于多语言仓库与PR阶段锁文件评审。资料强调按需加载相关工作流与生态参考，不要一次性读取全部内容。
主要能力：扫描项目依赖中的已知漏洞（CVE/GHSA/OSV）；为仓库、容器或二进制生成CycloneDX/SPDX SBOM；对PR的锁文件增量做新增漏洞、许可证变更、恶意包审查；通过可达性分析优先处理真正可利用的少部分发现；基于allow/deny策略做许可证合规；供应链审查涵盖typosquatting、依赖混淆与恶意包分诊；支持npm、yarn、pnpm、pip、poetry、Maven、Gradle、Go、Cargo、Ruby、Composer等生态审计；支持CI/CD持续扫描。
使用方式：资料给出决策树，按场景选择工作流——锁文件变更走lockfile_diff；仓库或容器基线先生成SBOM再做漏洞关联与许可证审计；发现量大时做可达性分析；新包或陌生包走供应链审查。并行提示：SBOM生成与漏洞扫描独立，可并行；多生态扫描可并行；许可证审计与漏洞关联独立；OSV批量API应一次批量请求而非循环。必须顺序执行：SBOM后做漏洞关联，关联后做可达性分析，可达性查询前先构建调用图，锁文件增量分类先于逐项扫描。大型任务可派生子代理，按生态或包前缀分片。输出须符合schemas/finding.json，含生态、包名、版本、受影响范围、修复版本、CVE/GHSA/OSV编号、是否传递依赖、依赖路径、是否可达、许可证与风险、恶意指标、EPSS与KEV等字段。优先级规则按可达性、KEV、EPSS、CVSS划分P0-P3并对应SLA。CI/CD建议设提交前、PR、主干/夜间三道关卡，使用扫描器退出码与严重级别门禁，抑制项需写明原因和过期时间。
工具：资料列出syft、grype、trivy、osv-scanner、govulncheck、pip-audit、cargo-audit、cargo-deny、cyclonedx-cli、snyk、socket、OWASP Dependency-Check、license-checker、pip-licenses、go-licenses及安装命令，均保持原样。
限制：SCA仅看第三方依赖，不处理一方源码漏洞（用sast-orchestration）、容器镜像内OS包（用container-security）、IaC配置错误（用iac-security）、运行时测试（用dast-automation）、LLM相关供应链（用llm-security）；移动端第三方库可用，但平台细节由android-pentest/ios-pentest补充。资料标注最后验证为2026-04，并提示OSV/GHSA滚动更新，NVD积压状态需查看references/vuln_databases.md。部分工作流与参考文件在技能包内，未在资料中给出完整正文，故不展开。具体收费与价格暂未提供。