用途：审计项目第三方依赖，覆盖 npm、pip、Composer、Gem、Go module、Cargo 等生态，检查安全漏洞、过时版本和许可证合规问题，并输出修复建议。
主要能力：扫描 package.json/package-lock.json、requirements.txt/pyproject.toml/Pipfile.lock、composer.json/composer.lock、Gemfile/Gemfile.lock、go.mod/go.sum、Cargo.toml/Cargo.lock 等清单与锁文件；运行 npm audit --json、pip-audit --format=json、composer audit、bundle audit、cargo audit、govulncheck 等命令并归一化结果；结合 NVD、GitHub Advisory Database、OSV 交叉引用漏洞；分析传递依赖漏洞，判断升级直接依赖能否解决；对比最新版本，区分 patch/minor/major 更新；检查许可证，标记 copyleft 冲突和无许可证包；识别两年以上无发布或已归档的废弃包；按 CVSS 分级（critical≥9.0、high≥7.0、medium≥4.0、low<4.0）。
输出：漏洞报告表、过时包表、许可证审计表、关键漏洞依赖链、按严重度排序的修复命令，以及扫描总数与各等级数量的执行摘要。
使用方式：在项目目录中触发，需至少一个包管理器 CLI，并需网络访问漏洞数据库；私有包会被标记为不可验证。npm audit 返回退出码 1 属预期，表示发现漏洞。
限制：缺少锁文件需先生成；网络超时需重试或改用离线缓存数据；混合生态需分别扫描再合并；私有源包无法解析。部分具体实现细节以实际环境为准，资料未提供的部分暂未提供。