用途：检查项目依赖是否存在已知漏洞以及是否过时，适用于被要求“审计依赖”“检查漏洞”或评估依赖健康状况时。
主要能力：根据锁文件自动识别包管理器，运行对应生态的审计与过时工具，不默认假设使用 npm。若项目自身定义了审计任务，则优先使用。
生态与命令：npm 使用 package-lock.json，运行 npm audit 与 npm outdated；pnpm 使用 pnpm-lock.yaml，运行 pnpm audit 与 pnpm outdated；yarn 使用 yarn.lock，运行 yarn npm audit（berry）或 yarn audit，以及 yarn outdated；Python 使用 requirements*.txt、uv.lock 或 poetry.lock，运行 pip-audit 与 pip list --outdated；Go 使用 go.sum，运行 govulncheck ./... 与 go list -m -u all；Rust 使用 Cargo.lock，运行 cargo audit 与 cargo outdated。
使用方式：若缺少审计工具，会指出需要安装哪个并停止；若缺少锁文件，则先安装以生成锁文件，然后重试。
报告内容：漏洞按 critical/high 优先列出，包含 package@version、advisory id（CVE/GHSA/RUSTSEC）、一行说明及该生态的修复命令；过时包列出包名、当前版本、最新版本以及主版本与次版本差异；还会通过 grep 源码目录中的导入来识别明显未使用的依赖。
处理优先级：critical 立即修复并阻止合并；high 在下个发布前处理；moderate 本迭代内处理；low 方便时处理。之后按主版本更新、未使用依赖、次版本更新的顺序处理。
限制：资料未提供更多平台、收费或效果信息。