用途
本技能用于管理 SAP 依赖安全与升级，提供供应链防护、兼容性分析、分阶段发布以及跨主流包管理器的全面测试。适用场景包括：升级主要框架或库版本；配置防供应链攻击（冷却期、脚本阻止、锁文件加固）；设置安全的包管理器配置；解决依赖冲突或 peer 依赖问题；规划带测试的增量升级路径；使用 Renovate、Dependabot 或 Snyk 自动化依赖更新；审计依赖漏洞；搭建 CI/CD 依赖安全工作流；在 .mcp.json 中固定或审查 SAP MCP 服务器；审查 SAP CAP、UI5/Fiori、HANA、Datasphere、SAC、SAP Cloud SDK、BTP/CF/mbt 或 ABAP/gCTS 的依赖工作流。
主要能力
- 冷却期（Cooldown）：延迟安装新发布包，等社区审核后再采用。
- 阻止安装后脚本：防止 npm install 期间执行任意代码。
- CI 中冻结锁文件：使用确定性安装。
- 锁文件校验：使用 lockfile-lint 检测注入。
- 安装前审计：使用 npq 或 Socket CLI 检查包。
- 增量升级：每次只升级一个主要版本并测试。
- SAP MCP 可执行文件固定：用精确 npm 版本或源码提交固定。
SAP 开发模式核心规则
SAP 企业项目默认使用 14 天冷却期，例外需记录在 SAP MCP 清单或项目评审笔记中。将 MCP 服务器视为可执行依赖：在 .mcp.json 中使用精确 npm 固定，如 @ui5/mcp-server@0.2.11，切勿使用 @latest 或裸包名。本地源码 MCP 按提交固定；SAC 使用受信任的 secondsky/sap_analytics_cloud_mcp fork，必须记录提交 2020235505d98111c2889598ab2217c1619b6943。运行时授权保持独立：本技能覆盖包/源码/可执行文件信任，租户角色设计与业务授权请使用相关 SAP 技能。任何 .mcp.json 或 SAP MCP 清单变更后，用 npm run validate:mcp-security 验证 MCP 漂移。
使用方式
提供两种模式：交互模式（逐步询问以生成定制配置）和默认模式（立即应用推荐默认值：7 天冷却期、阻止所有脚本、frozen-lockfile、lockfile-lint、带冷却期的 Dependabot）。交互流程包含三层决策：第一层为必选决策（包管理器、冷却期、安装后脚本策略）；第二层为安全工具（CI/CD 自动化工具、自动合并策略、更新计划、安装时安全工具、锁文件校验）；第三层为高级选项（Dev Containers、密钥管理器、pnpm 信任策略、冷却期排除项）。
冷却期快速配置（npm .npmrc）：min-release-age=7。阻止脚本（npm）：npm config set ignore-scripts true；npm config set allow-git none。冻结安装：npm ci、bun install --frozen-lockfile、pnpm install --frozen-lockfile、yarn install --immutable --immutable-cache、deno install --frozen。
适用场景与限制
适用于 SAP 生态及一般项目的依赖安全治理。注意：lockfile-lint 目前不支持 Bun 的 bun.lock / bun.lockb 格式；pnpm 信任策略（trustPolicy: no-downgrade）仅 pnpm 10.21+。部分 Socket CLI 功能需认证。资料未提供具体收费价格、效果承诺或未列出的使用步骤。