用途：审查项目依赖，发现已知漏洞（CVE），对应 OWASP A06:2021 易受攻击和过时的组件。
主要能力与流程：
- 识别依赖清单——扫描 Node.js、Python、Go、Java、Ruby、Rust、.NET、PHP 等生态的依赖文件与锁文件，优先使用锁文件以获取精确解析版本。
- 运行漏洞扫描——按偏好顺序使用已安装工具：osv-scanner --lockfile=<path> --format=json（推荐，多生态）、npm audit --json（Node.js）、pip-audit -r requirements.txt --format=json（Python）、govulncheck ./...（Go）、trivy fs --format json --scanners vuln <path>（多生态）。若未安装任何扫描器，应停止并请用户安装（例如 brew install osv-scanner）；不建议手工分析，因为即便小项目也可能有 50 个以上依赖。单个包的分诊可引导用户使用 OSV.dev。
- 分析结果——对每个漏洞判断可达性（是否有代码路径使用到脆弱代码）、结合部署环境评估可利用性，并确认是否存在修复（补丁或需跨大版本升级）。
- 依赖健康——除 CVE 外，标记长期未维护包（超过 2 年无活动）、错拼包名（typosquatting）风险、许可证问题与版本锁定问题。
输出：扫描摘要（涉及的生态、依赖数量、所用扫描器）、按严重性排序的发现（使用 templates/finding.md 模板）、中低危的简表、依赖健康标记，以及确切的修复命令。
限制：具体扫描结果、实施细节与修复命令取决于项目实际情况；资料未提供具体命令输出、价格或平台信息。