用途：为项目建立依赖卫生规范，决定依赖什么、保持依赖更新、响应安全公告并降低供应链风险。适用于新项目或现有项目建立依赖管理、响应安全公告、关键依赖大版本升级、新增或移除依赖、审计已安装与实际使用情况、设定更新节奏与策略、排查更新后构建失败。不适用于通用代码审查、基础设施漏洞扫描、供应商合同锁定、依赖性能影响评估。
主要能力：将依赖分为关键运行时、支撑运行时、开发/构建、可选个人工具四类，并据此制定策略；从维护健康度、暴露面、可替换性、信任、成本五个维度评估依赖；提供清单、审计、分类排序、修复前测试、大版本升级规划、策略制定、自动化、定期审计的工作流。
使用方式：先用 npm ls --all --json、pip list、bundle list 等列出依赖并分类；再用 npm audit、yarn npm audit、pip-audit、bundle audit 审计；按严重程度与直接/间接依赖排优先级；修复前跑测试；大版本升级先读变更日志与迁移指南；用 Renovate 或 Dependabot 自动提 PR，CI 每次 PR 跑审计，关键公告阻断合并；每季度用 depcheck 等检查未使用依赖、落后大版本、无人维护包与许可证。
限制：原则与技术栈无关，具体命令和策略因包管理器而异；资料未提供具体价格、平台支持范围或效果保证；需结合项目风险画像与团队情况调整。