dep-audit 用于审计项目依赖的安全风险。触发关键词包括 dep audit、dependency audit、security audit dependencies、dep-audit。它不适用于 OWASP 代码审查、常规代码审查或通用安全审查，这些场景应改用其他专用技能（如 /codex-security、/codex-review-fast）。
参数：$ARGUMENTS；--level <severity> 指定最低报告级别（low/moderate/high/critical），默认 moderate；--fix 尝试自动修复。
使用方式分两步。第一步检查项目根目录是否存在 .claude/scripts/dep-audit.sh：存在则运行 bash .claude/scripts/dep-audit.sh $ARGUMENTS；脚本成功则直接使用其输出并跳到输出环节；脚本失败则视为真实的审计失败，不静默回退；不存在则进入第二步，不要尝试运行该脚本。第二步为回退方案，根据项目根目录的清单文件检测生态并手动运行审计：package.json + pnpm-lock.yaml 对应 pnpm audit --audit-level {LEVEL}，修复用 pnpm audit --fix；package.json + yarn.lock 对应 yarn audit --level {LEVEL}，修复用 yarn audit --fix 或 npx yarn-audit-fix；仅 package.json 对应 npm audit --audit-level={LEVEL}，修复用 npm audit fix；pyproject.toml 对应 pip-audit 或 safety check，修复用 pip-audit --fix；Cargo.toml 对应 cargo audit，修复用 cargo audit fix；go.mod 对应 govulncheck ./...，手动修复；build.gradle 对应 ./gradlew dependencyCheckAnalyze，手动修复。未提供 --level 时 LEVEL 默认 moderate；指定 --fix 时在审计后运行对应生态的修复命令；若没有可识别的清单文件则报错。
审计步骤为只读扫描，失败行为为 report-all。输出包含审计结果表（Critical/High/Moderate/Low 计数）、漏洞详情（严重级别、问题标题、包名、修复是否可用）以及 Gate 判定：无 moderate 及以上漏洞为 PASS，发现高危漏洞为 FAIL。示例：/dep-audit、/dep-audit --level high、/dep-audit --fix。
限制：仅聚焦依赖漏洞审计，不覆盖代码级安全审查；--fix 的实际效果依赖各生态工具能力；缺少可识别清单文件时无法执行。