用途：审计 Node.js 项目已安装的 npm 依赖树，识别已知 CVE。它封装 npm audit --json，解析 npm 6 的 v1 与 npm 7+ 的 v2 输出，将 npm 严重级别映射为统一枚举，并按规范化的渗透测试 JSON 结构输出发现，供 CI 门禁、安全看板、SOC2 证据收集等下游工具统一消费。
主要能力：区分直接依赖与传递依赖的漏洞；按严重级别（CRITICAL/HIGH/MEDIUM/LOW/INFO）生成发现；对无补丁的漏洞标记为 HIGH；处理注册表不可达、输出格式错误、锁文件不同步等异常情况。每条发现包含 id、severity、category、summary、evidence、references。
使用方式：需 Node.js 与 npm（npm 6+，推荐 7+），目标目录含 package.json 及 package-lock.json 或 npm-shrinkwrap.json，并能访问 npm 注册表。运行：python3 ./scripts/audit_npm.py /path/to/node-project。选项包括 --output、--format（json|jsonl|markdown）、--min-severity、--include-dev、--no-cache、--json-only。退出码：0 干净，1 存在高危/严重，2 错误。
适用场景：合并前门禁、每次推送的 CI 扫描、SOC2 证据收集。
限制：不自动遍历 monorepo 工作区，需按包分别扫描；传递依赖漏洞可能需通过升级父包或使用 npm 8.3+ 的 overrides 解决；无补丁漏洞需订阅公告或替换包；锁文件不同步时结果可能不完整。