用途：面向 Java 项目的依赖安全审计，输入支持 Maven 的 pom.xml、Gradle 的 build.gradle、.jar 文件或目录（目录会递归扫描并按模块分组）。
主要能力：内置 references/java-vulnerability.yaml，含 130+ 条 CVE 规则，覆盖 Log4j（Log4Shell 等）、Fastjson、Spring（Spring4Shell 等）、Struts2（S2-045/046/057/061）、Shiro、Jackson、XStream、ActiveMQ、JDBC 驱动等；报告按模块分组并按 Critical/High/Medium/Low 分级；可由 AI 在扫描结果基础上按 references/OUTPUT_TEMPLATE.md 填充触发点分析（触发条件、危险代码模式、攻击向量、受影响路由、搜索命令、修复建议）。
用法：运行 python3 scripts/scan_dependencies.py <目标路径> --rules references/java-vulnerability.yaml --no-deps，其他参数包括 --format（markdown/json）、--output、--depth（默认 2）、--no-save。报告默认输出到 {项目名}_audit/vuln_report/。当目标为 .jar 或 .class 且无法直接提取依赖时，使用 CFR 反编译器，例如 java -jar {CFR_JAR} /path/to/file.jar --outputdir {output_path}/decompiled。
限制：输出必须为单个 Markdown 文件，命名 {project_name}vuln_report{YYYYMMDD_HHMMSS}.md，并严格遵循指定模板，不得增删或调整章节顺序。其余环境识别规则与配合技能（如 java-route-mapper）的细节以资料所列为准，未提供的功能、价格和平台支持等信息暂未提供。