用途：审计前端项目的依赖健康度，覆盖三个方面——新鲜度（过期包与破坏性升级流程）、CVE 分级（按实际攻击向量加权，而非只看 CVSS 分数）、趋势观察（已弃用、被放弃或被取代的库，应迁移）。
主要能力与用法：并行运行 scripts/audit-deps.sh --repo <client-repo> 与 scripts/audit-trend-watch.sh --repo <client-repo>，读取 raw/deps.json 和 raw/trend-watch.json。对每个 CVE 发现先套用攻击向量分级矩阵再定优先级：devDependency 中的 RCE、路径遍历、SSRF 可忽略；仅浏览器 SPA 运行时重点关注原型污染、ReDoS、XSS；SSR/Edge 运行时将 RCE、路径遍历、SSRF 视为 P0；供应链（postinstall 恶意软件）在 CI 中为 P0。用 pnpm audit --prod 排除 devDeps，并检查用户可控输入能否到达漏洞代码路径，否则降级为 P2；所有被忽略的 CVE 需记录在 kpi/audit-triage.md 并说明理由。趋势观察将 package.json 与 data/trend-watch-config.json 交叉比对，分 Tier 1（立即迁移）、Tier 2（1–3 个月内计划迁移）、Tier 3（持续监控）。推荐替代依赖前优先考虑 Web 标准 API（如 Temporal、fetch、crypto.randomUUID()、URL/URLSearchParams、Intl 等），并检查 tree-shaking、近 6 个月是否发布、gzip 体积是否小于 5 kb。破坏性升级应作为独立 PR，阅读 changelog、grep/ast-grep 查找用法，要求 typecheck && lint && test:ci && e2e 通过，VRT 快照在 Linux 容器中重新生成。
输出：写入 <client-repo>/.frontend-review/report/latest/md/deps-review.md，包含过期包表、CVE 分级结果、按 Tier 的趋势观察发现、被忽略 CVE 及理由、建议 PR。
限制：不评估 TypeScript/lint/死代码（属 frontend-review-hygiene），不运行 AI 渗透测试或检查 HTML sink（属 frontend-review-security），不修改客户仓库源文件。