用途：对项目依赖、框架、语言运行时和开发工具做安全审计，覆盖已知 CVE、安全反模式与供应链风险，适合在用户要求检查依赖漏洞、升级风险或 CI/CD 安全时使用。
主要能力与用法：先清点技术栈，读取 Node（package.json、package-lock.json、yarn.lock、pnpm-lock.yaml）、Python（requirements.txt、Pipfile.lock、pyproject.toml、poetry.lock）、Ruby、Go、Rust、Java、PHP、.NET 的清单，并记录框架、运行时、容器镜像、IaC 与 CI/CD 版本。再按栈运行自动审计，如 npm audit、pip audit、safety check、bundle audit、govulncheck ./...、cargo audit、composer audit、dotnet list package --vulnerable、docker scout cves <image>、trivy image <image>、trivy fs .。
随后按框架排查配置隐患（如 Django DEBUG、Rails 批量赋值、Express 原型污染、Spring Actuator 暴露、Laravel APP_DEBUG、WordPress 插件过期等），并检查供应链风险：依赖混淆、拼写抢注、postinstall 脚本、锁文件完整性、维护停更。最后审查 GitHub Actions、Docker 与 Terraform 的安全问题，输出分层表格与按严重度排序的整改计划。
限制：只审计用户提供的代码与配置；每条 CVE 必须核验是否影响实际安装版本；每项发现须给出具体修复版本或步骤；需说明利用前提；不协助对未授权目标实施利用。未提供的项目细节暂未提供。