用途：对项目依赖库进行分诊，标记出可能引入污点源（taint source，即不可信数据进入的位置）的依赖库，用于启动源发现流程。
主要能力：读取项目依赖清单，逐个判断每个第三方依赖库是否可能引入攻击者可控的数据源，例如返回不可信数据的方法（HTTP/RPC 请求数据、消息代理负载、反序列化的不可信输入等）。判断依据是库本身的身份，可阅读源码或文档获取概览。
使用方式：输入 project-root（可选，默认当前目录），所有分析产物位于 <project-root>/.opentaint/ 目录下。流程为：读取 .opentaint/project/project.yaml 中每种语言项目条目下的依赖列表；对每个库判断是否可能引入污点源；将标记的库包以扁平列表写入 .opentaint/tracking/coverage.yaml；返回前复核完整依赖列表，确认每个依赖都已判断，并重读未标记的库确认其确实不能引入源。若 coverage.yaml 已存在，应合并而非覆盖：保留已有包，并补充新增的可引入源的依赖。不确定时建议列入，过度标记只多一次发现流程，遗漏则会在后续阶段丢失其源。
适用场景：在安全分析或污点分析流程的早期阶段，用于确定需要深入挖掘污点源的依赖库范围。
限制：需要项目已由 Opentaint 解析并生成 project.yaml；判断依赖库是否引入源需要一定的人工或模型判断，资料未提供自动化判定细节；输出为扁平包列表，需保持清晰、避免注释干扰。