用途：审查项目依赖的安全状况，可在设置 CI 流水线或响应已报告依赖漏洞时使用。第三方包是现代 Web 应用最常见的攻击面，单个存在漏洞的传递依赖可能影响所有依赖它的应用，因此自动化、持续扫描能大幅缩短从 CVE 公布到团队知晓的时间差。
主要能力与检查项：使用包管理器审计命令检查项目依赖中的已知安全漏洞；在 CI 中集成自动依赖扫描（如 GitHub Dependabot 或 Snyk）；将严重和高危级别发现视为发布阻断项；将传递依赖锁定到提交到版本控制的锁文件中。
必要用法：在每次生产部署前运行 pnpm audit（或 npm audit）；修复环节为升级、打补丁或替换有漏洞的依赖，并在 CI 流水线中配置自动扫描。代码审查时检查锁文件和 package.json，留意未锁定版本范围、已废弃包以及近期 CVE 数据库中标记的包。
适用场景：部署前检查、CI 集成、漏洞应急响应、代码审查。
限制：资料未提供具体版本号、检测覆盖范围、误报率、支持的语言生态及收费信息，暂未提供。完整实现细节、代码示例和框架特定指南见 references/rule.md。