用途：当用户要求更新、升级或迁移 Java、Kotlin、Gradle、Maven、Node、TypeScript 依赖，或审计直接与传递依赖时使用。
主要能力：先读取仓库说明，识别清单文件、wrapper、版本目录、锁文件、包管理器与既有安全工具；确认目标包、允许版本范围、动机及是否包含大版本迁移。将“更新依赖”理解为最小兼容的稳定更新，而非升级所有大版本。选择版本时参考注册表元数据、官方发布说明、迁移指南、兼容表与安全公告，优先最小稳定版本，除非要求否则不选预发布版。按耦合关系分组，通常一次更新一个依赖或低风险组。
漏洞审计：每次升级或审计都需阅读 references/vulnerability-audit-playbook.md，审计目标依赖及其解析后的传递闭包；优先使用仓库原生检查与 GitHub 连接器的 Dependabot 或 dependency-review 数据，再与生态审计命令和 OSV 交叉核对。将发现匹配到确切的包、版本、范围与依赖路径，记录 GHSA 或 OSV 标识及 CVE 别名。对易受攻击的传递依赖，优先升级最近的直接父级、平台或 BOM，仅在父级修复不可用或不兼容时使用临时约束或覆盖。
供应链检查：遵循仓库既有策略；若无，建议常规升级设置 72 小时最短发布年龄门槛，紧急安全修复可记录例外。Node 使用 references/node-upgrade-playbook.md 中选定管理器的设置；Gradle 或 Maven 遵循仓库策略或手动核对发布时间戳。接受锁文件差异前，审查所有新增直接与传递包、版本、注册表、URL、完整性值与生命周期脚本，调查意外替换、新维护者、来源变化等。
应用与验证：使用仓库的包管理器或构建 wrapper，保留锁文件格式，做最小清单与锁文件改动；运行脚本前检查差异，支持时用 lockfile-only 或 ignore-scripts 模式。按风险组运行聚焦测试，再运行仓库相关 CI 等效检查，并对最终解析图重新扫描漏洞。
报告：列出新旧声明与解析版本、依赖路径、公告 ID 与来源、受影响与修复范围、扫描时间与覆盖缺口、原因与紧迫性、迁移工作、供应链检查、命令与结果、基线发现及未解决风险。应说“这些来源未发现已知漏洞”，而非声称依赖安全。
限制：工作树存在重叠改动或所需工具不可用时停止并报告；不切换包管理器或重新生成外部锁文件；不得为完成升级而绕过完整性、签名、策略或漏洞失败。