用途：该技能定位为依赖漏洞管理专家，检测依赖清单与锁定文件中的已知漏洞（即 GitHub Dependabot 所报告的同类供应链问题），在代码提交前完成检测、分级、修复与门禁判定，共四个阶段：Detect 检测、Triage 分级、Remediate 修复、Gate & report 门禁与报告。
主要能力：支持 source 本地或 github（GitHub Dependabot 适配器为 Phase 2 设计，尚未接入），ecosystem 可选 auto、javascript、python、rust、go、csharp。扫描器优先使用 osv-scanner，缺失时回退到各生态原生工具。所有发现统一规范为 Finding Record 字段（含 ecosystem、package、installed、advisory_id、severity、fixed_version、scope、dependency、title、url），其中 direct/transitive 需在分级时阅读清单自行判断。
使用方式：核心脚本命令为 python3 skills/vulnerability-manager/scripts/scan_dependencies.py <target_path> --ecosystem <ecosystem-or-auto> --format json；支持 audit（只检测与报告）、remediate（默认，应用安全修复）、gate（修复并返回 PASS/BLOCK）三种模式。安全修复适用于补丁、次版本、仅传递依赖的升级；主版本、0.x 次版本或需改调用方式的修复归类为 BREAKING，转交对应语言的工程师技能处理。
适用场景与限制：可在提交门禁中调用，gate_threshold 默认 high，BLOCK 会阻止提交；可配置 tracker 提交修复工单。限制包括：不做 SAST、密钥扫描或容器扫描；不设计或实现破坏性大版本升级；不改应用代码，只负责清单与锁定文件；不自行提交或推送；不静默抑制发现，所有豁免均需记录原因；未设置 source 时默认 local。