用途：审查依赖健康状况，不止看安全告警，而是评估整体依赖图、Dependabot PR 积压、过期依赖，并给出低风险批量合并策略。
主要能力：通过两条辅助命令工作——“gh-manager deps graph --repo owner/name”获取依赖图（SBOM）摘要；“gh-manager deps dependabot-prs --repo owner/name”列出门开中 Dependabot PR 的年龄、严重级别与包信息。评估分三步：依赖图概览、Dependabot PR 积压分析（积压年龄、安全与非安全区分、批量合并候选）、呈现发现。批量合并候选需同时满足：非安全修复、补丁或次版本升级、CI 通过、diff 较小、无 do-not-close 或长跑标签；主版本升级单独标记需人工审查。
使用方式：批量合并需所有者批准，授权后逐个执行“gh-manager prs merge --repo owner/name --pr N --method squash”（Dependabot PR 默认 squash），支持部分批准与跳过并报告结果。分档行为：Tier 4/3 公开仓库完整评估，候选逐一审阅后合并，每次合并触发 CI 且对仓库关注者可见；Tier 2 私有代码仓库对 CI 通过的补丁/次版本可批量批准；Tier 1 文档仓库跳过依赖审计。执行顺序为完整评估中第 6 个模块，位于 Issue Triage 之后；Dependabot 安全告警交由安全模块处理。完整评估模式不输出独立横幅，发现并入统一视图，仅窄范围依赖检查使用分模块横幅。
适用场景与限制：适用于需要持续维护依赖的代码仓库。错误处理涵盖 SBOM 返回 404（依赖图未启用）、403（PAT 权限不足）以及无 Dependabot PR 的情况。批量合并会为每个 PR 触发独立 CI，慢速 CI 下可能排队多个构建；批量中途失败可能影响后续合并。其他细节资料未提供。