用途：模拟与检测软件供应链攻击。软件供应链攻击利用对包仓库的信任，通过域名仿冒（注册与流行包相似的名字）、依赖混淆（在公共源发布与私有包同名但版本更高的包）以及被篡改的包分发来实施。该技能针对这些攻击向量进行检测。
主要能力：
- 域名仿冒：用编辑距离阈值将包名与 PyPI 热门包比对。
- 依赖混淆：检查内部包名是否已存在于公共 PyPI 且版本号更高。
- 哈希校验：下载包并核对 SHA-256 摘要与已发布哈希是否一致。
- 漏洞扫描：用 pip-audit 对已安装包比对 OSV 与 PyPA 公告库。
- 元数据异常：标记可疑作者邮箱、缺失主页或首次上传日期很近的包。
使用时机：开展涉及供应链攻击模拟的安全评估时；遵循相关安全事件的事件响应流程时；执行计划性安全测试或审计活动时；通过动手测试验证安全控制时。
前置条件：Python 3.9+，并安装 pip-audit、Levenshtein、requests；可访问 PyPI JSON API（https://pypi.org/pypi/{package}/json）；具备获取包元数据的网络访问。
输出：JSON 报告，含每个包的风险评分、检测到的攻击向量、哈希校验结果和 CVE 发现。
限制与法律声明：仅限获授权的安全测试与教育用途。未经授权对你不拥有或未获书面许可的系统使用属违法，可能违反计算机欺诈相关法律。法律与合规细节、具体阈值和完整命令示例在资料中未提供。