用途：审查 Dependabot 依赖升级 PR，判断上游改了什么、可能破坏什么、每个包影响代码库哪些部分，以及是否该合并。适用于 npm、RubyGems、PyPI、Go modules、Cargo 等生态。
两种模式：单 PR 模式，用户给出某个 PR 链接时使用；审计模式，用户询问所有开放的 Dependabot PR 时使用，不必让用户粘贴链接，可用 gh 自行发现。意图不明（如只说“review dependabot”）时默认审计模式。
审计流程：用 gh repo view --json nameWithOwner -q .nameWithOwner 确定仓库，再以 gh pr list --author "app/dependabot" --state open --json number,title,url,createdAt,headRefName,labels --limit 50 列出 PR；作者过滤必须带 app/ 前缀。逐 PR 分析后输出汇总表（列：#、Package、Bump、Type、Age、Verdict、Why）,按 Merge→Verify→Investigate→Hold 排序，安全标 🔒 的行置顶，随后是每个 PR 的细节和总体建议。
单 PR 流程：用 gh pr view、gh pr diff 获取标题、正文、文件与 diff，提取包名、旧新版本和升级类型（patch/minor/major）；从 GitHub changelog、releases 或包注册表页面查找旧新版本之间的变更，重点整理破坏性变更、弃用、安全修复与相关新功能；再检查清单文件版本约束、是否为仅开发/测试依赖、搜索导入/引用与配置，按功能区域归纳影响，并查看锁文件判断依赖解析是否成功。最后给出结论：Merge、Merge after verification、Investigate 或 Hold。不建议让用户跑测试套件，而是指出 CI 可能覆盖不到、需要人工确认的事项。
回帖：始终先询问是否发布，不自动发。单 PR 问“Want me to post this review as a comment on PR #N? (yes / no)”；审计模式问整批（yes / no / selective）。发布用 gh pr comment <NUMBER> --repo <OWNER/REPO> --body-file <path-to-tempfile>，建议先写临时文件以避免转义问题。评论模板含结论与一行原因，正文折叠在 <details> 中，并带不可见标记 <!-- dependabot-audit:v1 -->；发布前用该标记检查是否已存在评审评论，避免重复。评论不加署名或“自动生成”字样。单个 PR 发布失败时内联报告并继续，审计模式不因一条失败中止整批。输出应简洁可扫读，缺失 changelog 时明确说明。