用途：调查 Medusa monorepo 中的 Dependabot/安全告警，找出确切受影响的依赖包，评估真实影响，并选择最小侵入的修复方式。默认输出为诊断结论，只有在被要求时才做出修改。
主要能力与流程：按顺序执行五步——用 gh api（如 gh api repos/medusajs/medusa/dependabot/alerts/<N> | jq ...）获取告警的包名、受影响版本范围、首个修复版本、直接或传递依赖等；沿 yarn.lock 向上追溯，确定属于 packages/* 下的哪个工作区包；判断漏洞路径在 Medusa 中是否可被不可信输入触发；按修复阶梯选择最小侵入方案；仅在改动时做验证。
修复阶梯（从轻到重）：1a 在现有语义化版本范围内刷新传递依赖（仅改 lockfile）；1b 提升受影响包声明的直接依赖（改其 package.json）；2 根级 resolutions/overrides（仅对本仓库生效，是最后手段，不随 packages/* 发布，故不保护已发布包的下游消费者）。
限制与注意：根级 overrides 是最后手段，不能作为已发布包漏洞的完整修复；lockfile 浮动可达不等同于版本被固定，可能回退；需先评估可达性再判断紧急程度，勿在未检查破坏性变更、peerDeps 与实际用法的情况下建议主版本升级；若仅要求诊断则不要改动代码。常用命令保持原样，如 grep -n "<pkg>@npm" yarn.lock、git diff --stat。