用途：对项目依赖做全面风险评估，覆盖许可证兼容性、维护健康度、CVE 检测、臃肿识别与传递依赖风险映射，最终生成按紧急程度排序的整改报告。
主要能力：解析直接与传递依赖、版本约束（固定/范围/浮动）及开发与生产依赖；按项目自身许可证判断兼容性（MIT/BSD/ISC/Apache 2.0 低风险，LGPL 中，GPL 高，AGPL 严重，未知严重）；用最近发布、90 天提交数、问题响应、bus factor、CI 状态评估维护健康；对照 pip-audit、npm audit、NVD 等检查 CVE 并按 CVSS 分级；识别未使用依赖、重复功能、过重传递树与体积问题。
使用方式：需项目依赖文件（pyproject.toml、requirements.txt、package.json、Cargo.toml、go.mod）、锁文件与项目许可证。工具示例：Python 用 uv pip list、pip-audit、pipdeptree；Node.js 用 npm list --all、npm audit；Rust 用 cargo tree、cargo audit。输出含摘要表、许可证合规表、维护健康表、安全漏洞表、臃肿分析表及按立即/短期/中期/长期分组的行动项。
适用场景：生产依赖优先审计，开发/测试依赖风险较低；传递依赖同样需检查，因 MIT 直接依赖可能引入 GPL 传递依赖。
限制：无锁文件时传递分析不完整；许可证元数据缺失需查仓库 LICENSE；注册表不可用则用缓存与本地锁文件；依赖过多时按生产→直接→有已知问题的传递依赖排序。原型项目、仅需更新依赖、或无依赖项目不适合审计。