用途：对 Hex 依赖做非破坏性供应链审计，在 mix deps.update、mix deps.get 或涉及 mix.lock 的 PR 中检查新增或被更新的包。
主要能力：执行 8 条 MVP 规则（如 .ex/.exs/.erl 中的双向 Unicode 控制字符、模块级非字面量 MFA 的 Code.eval_*、编译期 System.cmd、未加 :safe 的 binary_to_term、新增 :git/:path 依赖、维护者变更、Base64 大块、疑似仿冒包），并组合 mix hex.audit、mix_audit、OSV-Scanner 等外部工具与 Hex API 元数据（维护者、下载量、发布时间）进行打分和分级，输出 markdown 或 JSON 结果，并强制写入 .claude/deps-audit/last-run.json。
使用方式：支持模式 B（默认，比较 HEAD 与工作区 mix.lock）、模式 C（--base main 比较指定 ref）、模式 A（--preview <pkg> 预览单包）。常用命令包括 /phx:deps-audit、mix hex.package fetch <pkg> <version> --unpack -o <dir>。默认全量 8 条规则扫描，--quick 仅检查 CVE 与退役，--json、--sarif <path>、--ci 等输出选项可用。
适用场景：新增版本后审计、PR 合并前把关、调查不熟悉的依赖、手动更新单个包前预览。
限制：技能本身不修改 mix.lock、mix.exs 或任何项目文件；不会自动安装缺失工具，仅提示安装命令；Hex API 请求限速 5 次/秒并缓存元数据；LLM 分诊仅在高分时启用且结论仅供参考；模式 A/B/C 的差异来源和解析逻辑、完整 35 条规则目录、外部工具与 API 细节见各参考文档，部分 Phase 3 能力（SARIF、CI 门禁）以资料所述为准。其它未提供的信息暂未提供。