用途：对 npm 项目依赖进行审计，覆盖安全性、新鲜度与整洁度三方面，适用于检查安全问题、更新包或排查冗余依赖。
主要能力： 安全审计：npm audit、npm audit --json，自动修复用 npm audit fix，强制修复用 npm audit fix --force；PNPM 用 pnpm audit，Yarn 用 yarn audit。 过期检查：npm outdated；交互式更新 npx npm-check-updates -i；全部升级 npx npm-check-updates -u 后执行 npm install；查看版本 npm view <package> versions。 未使用依赖：npx depcheck，可加 --detailed 或 --ignores="@types/,eslint-"。注意 @types/、ESLint/Prettier 插件、PostCSS 插件、Next.js 插件、Babel presets 等常见误报。 包体分析：Next.js 用 npx @next/bundle-analyzer；通用场景 npx source-map-explorer dist/**/.js；安装前查体积 npx package-phobia <package-name>；对比替代方案 npx bundlephobia-cli compare lodash ramda。
检查清单：无严重/高危漏洞、依赖有人维护、无已知恶意包、锁定文件已提交；无落后主版本（除非有意）、已应用安全补丁、废弃包已替换；无未使用依赖、无重复包、devDependencies 与 dependencies 划分正确。
更新策略：保守方式用 npm update 或 npm install package@latest；激进方式用 npx npm-check-updates -u 后 npm install 并 npm test；交互方式用 npx npm-check-updates -i（a 全选、空格切换、回车应用）。
锁定文件实践：始终提交 package-lock.json、pnpm-lock.yaml、yarn.lock；CI/CD 用 npm ci；损坏时删除锁定文件与 node_modules 重装；每个项目只用一种包管理器。可用 Dependabot 按周自动开 PR。
限制：资料未说明具体支持的包管理器版本范围、误报判定标准之外的自动处理方式，也未提供定价、平台或效果数据，这些方面暂未提供。