用途：对项目依赖进行安全与合规分析，覆盖直接依赖和传递依赖，检查已知漏洞、过期包及许可证问题，并支持生成软件物料清单（SBOM）。
主要能力：识别语言生态与清单文件（如 package.json、package-lock.json、requirements.txt、Pipfile.lock、pom.xml、build.gradle、go.sum、Gemfile.lock），支持含多个清单的 monorepo；解析锁文件构建完整依赖图，识别依赖深度、共享子依赖、版本约束及代码中使用但清单缺失的幻影依赖；对每个已解析包和版本查询 NVD、GitHub Advisory Database 和 OSV，按 CPE 或 PURL 匹配，记录 CVE、CVSS、严重级别、受影响范围和修复版本；提取依赖声明许可证并与项目策略对比，标记专有项目中的 GPL/AGPL 等 copyleft 许可证、无声明许可证的包及直接与传递依赖间的许可证冲突；生成 CycloneDX（JSON/XML）或 SPDX（JSON/Tag-Value）格式 SBOM，以及按严重级别排序的漏洞报告，含 CVE、依赖路径、可用修复版本和漏洞代码路径是否可达；建议最小版本升级并尽量自动生成更新的清单与锁文件，无修复版本时提示替代包或临时方案。
使用方式：向智能体提供项目目录路径或指定清单文件，可选指定许可证策略或合规标准，即可执行完整扫描并交付按优先级排序的漏洞报告。示例提示：Scan the Node.js project in /app for dependency vulnerabilities. Generate a CycloneDX SBOM and flag any GPL-licensed transitive dependencies. 可用命令示例包括 npm audit --json > audit-report.json 与 pip-audit -r requirements.txt --format json --output audit.json --fix --dry-run。
适用技术：Node.js（npm audit、yarn audit、Snyk、Dependabot）、Python（pip-audit、Safety、Snyk、Dependabot）、Java（OWASP Dependency-Check、Snyk、Maven Enforcer Plugin）、Go（govulncheck、Nancy、Snyk）、容器（Trivy、Grype）、SBOM 格式（CycloneDX、SPDX）、CI/CD（GitHub Actions、GitLab CI、Jenkins、CircleCI）。
最佳实践：每次 CI 构建扫描；固定依赖并使用锁文件；监控传递依赖；自动更新 PR；维护许可证允许列表；为每个发布版本生成 SBOM。
安全边界：仅限用户拥有或明确授权的系统，测试前记录批准范围；先被动或只读检查，主动扫描、利用、负载生成或破坏性修复前须获明确批准；不得暴露密钥、提取无关数据、削弱生产控制或超范围作业；保留证据、最小化影响、出现不稳定即停止，并为每项重要变更提供回滚或遏制步骤。
限制与边界情况：无修复版本的 CVE 需评估代码路径可达性，必要时替换依赖或本地修补；混合生态 monorepo 需分别扫描并汇总；私有注册表和内部包不会出现在公共漏洞库中，需私有通告源或 Trivy 等支持自定义数据源的工具；通过 overrides 或 constraints 强制升级传递依赖可能引入不兼容，应用自动修复后应运行测试套件；已归档或无人维护的包即使无已知 CVE 也视为供应链风险，应规划迁移。
资料未提供收费、价格、性能指标或具体平台支持细节。