用途：评估 npm/yarn 依赖包版本升级（如 Dependabot/Renovate PR、手动 yarn upgrade 或 npm update、修改 yarn.lock 或 package-lock.json 的 PR），在合并前弄清包内部实际改了什么。
主要能力：从 npm registry 下载新旧两个版本并解压，对源码（侧重 JS/TS，而非元数据）做 diff；将变更分类为 API 签名、返回值、新增导出、移除导出、行为变化；在项目源码中搜索直接 import/使用，在 node_modules 中搜索经中间包的间接使用；逐个追踪调用点核对参数用法与兼容性；评估签名、返回类型、返回内容、副作用等风险；生成结构化报告。
使用方式：按 review-workflow.md 的步骤执行，报告格式与风险准则见 report-template.md，示例报告见 example-report.md（@isaacs/brace-expansion 5.0.0 -> 5.0.1）。关键命令包括用 npm view PKG@VER dist.tarball 配合 curl 与 tar 下载解压新旧版本，用 diff -rq 比较文件列表、diff 比较主源码，用 grep 搜索项目与 node_modules 中的使用，用 npm view 检查 deprecated 与 dist.integrity。报告输出到 node_modules/.cache/pkg-upgrade/<package-name>-<old>-to-<new>.md，并必须通过 gh pr comment 作为 PR 评论发布。输出语言为中文。
适用场景：依赖升级 PR 的合并前审查、需要了解包内部变更时。
限制：资料未提供具体支持的包管理器范围、版本兼容边界、性能或权限要求等细节。