用途：识别第三方依赖与库中的已知漏洞，用于管理依赖、实施软件成分分析（SCA）、满足合规要求、保护软件供应链以及自动化漏洞检测。
主要能力：比较多种工具——Snyk（商业/免费，覆盖多语言，适合全面 SCA）、Dependabot（GitHub 免费，自动 PR）、OWASP Dep-Check（开源，免费扫描）、npm audit（Node.js 内置，快速检查）、pip-audit（Python）、Trivy（容器依赖）。提供各工具的命令用法，如 snyk test、snyk monitor、snyk fix、npm audit、pip-audit -r requirements.txt、bundle-audit check、govulncheck ./... 等，并支持 JSON、SARIF 等输出格式。
使用方式：安装并认证相应工具后对项目或指定清单文件执行扫描；可配置策略文件忽略特定漏洞或到期时间；可通过 .github/dependabot.yml 配置自动更新，或用工作流在 CI 中运行扫描并上传 SARIF；支持生成 CycloneDX、SPDX 等 SBOM，并可在 Maven 等项目集成 OWASP Dependency-Check。
适用场景：持续监控依赖漏洞、自动化创建修复 PR、供应链与合规审计、容器依赖扫描。
限制：官方资料注明为文档型导入，未捆绑上游脚本与模板；示例步骤应先在非生产环境验证，且仅在授权范围内使用。未提供具体价格、平台完整列表或效果保证。