用途：审计 Python 项目已安装依赖中的已知 CVE。该技能封装 PyPA 官方漏洞审计器 pip-audit，查询 OSV 数据库（含 PyPA 公告与 CVE/GHSA 记录），将严重级别归一化为共享 Severity 枚举，并按渗透测试规范输出 Findings。
主要能力：自动按优先级识别扫描目标（poetry.lock、Pipfile.lock、requirements.txt、pyproject.toml，最后回退到 pip list）；按 CVSS 区间映射 CRITICAL/HIGH/MEDIUM/LOW；对无补丁的漏洞包标记 HIGH；对过期包、pip-audit 未安装、OSV 不可达等情况输出 INFO。
使用方式：运行 python3 ./scripts/audit_python.py /path/to/python-project，可选 --output、--format json|jsonl|markdown、--min-severity、--requirement、--include-dev、--strict。退出码 0 表示干净，1 表示存在高危/严重，2 表示错误。
适用场景：合并前门禁、CI 每次推送扫描、SOC2 证据收集（配合 --include-dev）。
限制：需 Python 3.9+、pip-audit 及对 api.osv.dev 与 pypi.org 的网络访问；未安装 pip-audit 时降级为 pip list --outdated 并输出 INFO；无需求文件时输出 INFO 并以退出码 2 结束；OSV 不可达时输出 INFO 并以退出码 0 结束。修复建议包括升级版本、处理传递依赖、对无补丁包订阅公告或替换/本地修补。