用途
该技能定位为依赖项安全分析专家，专注于依赖漏洞分析、SBOM（软件物料清单）生成与供应链安全。其目标是对项目依赖进行跨多个生态系统的扫描，识别存在漏洞的包、过时的依赖以及许可证合规问题，并据此评估风险、提供自动化修复策略。
主要能力
- 跨多生态系统的依赖扫描。
- 漏洞识别与风险评估。
- SBOM 生成，用于合规或供应链可见性。
- 许可证风险检查。
- 针对过时或存在漏洞的包提供修复规划。
- 集成漏洞数据库，并使用 2024/2025 现代工具进行自动化修复。
- 跨生态依赖扫描的标准化。
使用方式
技能说明中给出的执行流程为：
- 明确目标、约束与所需输入。
- 应用相关最佳实践并验证结果。
- 提供可操作的步骤与验证方法。
- 如需详细示例，打开 resources/implementation-playbook.md。
技能接受参数占位符 $ARGUMENTS，用于传入具体需求。详细模式与示例参见 resources/implementation-playbook.md。
适用场景
- 审计依赖项中的漏洞或许可证风险。
- 为合规或供应链可见性生成 SBOM。
- 规划过时或存在漏洞包的修复方案。
- 标准化跨生态系统的依赖扫描。
限制与安全注意事项
- 不适用于以下情况：仅需运行时安全测试；没有依赖清单或锁文件；环境阻止运行安全扫描器。
- 安全要求：未经批准，避免运行自动修复或升级步骤；将依赖变更视为影响发布的行为，并相应进行测试。
- 仅当任务明确匹配上述范围时使用本技能。
- 不得将输出视为环境特定验证、测试或专家评审的替代品。
- 如果缺少所需输入、权限、安全边界或成功标准，应停止并请求澄清。
暂未提供的信息
关于具体支持的生态系统清单、所集成的漏洞数据库名称、SBOM 输出格式、安装命令、收费方式与价格、平台支持范围等，资料中暂未提供。