security-alerts

用途：自动收集并修复仓库依赖安全告警。主要能力：并行查询 S360/Component Governance 的 ADO 工作项、GitHub Dependabot 告警与 npm audit 结果，按包去重并以各来源中最高要求版本为准生成修复计划；通过 npm override、直接升级依赖或修补 lock 文件三种策略应用修复，再运行 npm audit 与 npm run ci 验证，更新 ADO 工作项状态，最后提交并创建 PR。用法：先运行 node scripts/audit-overrides.js（加 --write 应用安全覆盖）生成修复计划，再按策略执行；ADO 查询使用 az boards query，Dependabot 使用 gh api repos/microsoft/powerplatform-build-tools/dependabot/alerts，未映射的 S360 项用 gh api /advisories 解析。限制：需 ADO 与 GitHub 认证，缺失时跳过对应来源；本地功能测试因缺少 PA_BT_ORG_PASSWORD 会失败，属预期；存在硬性规则，如不得添加 minimatch 扁平覆盖、ajv 保持 ^6.x、不改动 nanoid 等覆盖；elliptic 为已知永久接受风险；仅本地 npm 修复可改用 /fix-dependencies。