用途：在依赖文件变更或部署前自动检查第三方依赖的已知漏洞，覆盖 CVE、含安全修复的过期依赖、恶意包、许可证兼容性与已弃用包。
主要能力：支持 Node.js（npm、yarn、pnpm）、Python（pip、pipenv、poetry）、Ruby（bundler）、Java（Maven、Gradle）、Go modules、PHP（composer）。触发条件包括 package.json、requirements.txt、Gemfile、pom.xml、yarn.lock、package-lock.json 变更，用户提及依赖或漏洞，以及部署前。流程为检测包管理器、运行审计命令、解析结果、按 CRITICAL/HIGH/MEDIUM/LOW 分级、给出修复建议并标记破坏性变更。
用法：使用 npm audit、npm audit --json、pip-audit、safety check、bundle audit、mvn dependency-check:check 等命令；修复可用 npm audit fix、npm audit fix --force、npm outdated、npm update lodash、npm install lodash@latest。可集成 CI/CD，例如 npm audit --audit-level=high 在发现 HIGH 或 CRITICAL 时阻断部署，也可用 cron 定时审计。沙箱环境需允许访问 registry.npmjs.org、pypi.org、rubygems.org、repo.maven.apache.org。
限制：需要 npm/pip 等注册表网络访问；--force 可能引入破坏性变更，需先测试；许可证检查仅提示兼容性问题，不构成法律意见。具体价格、平台与效果资料暂未提供。