用途：给定一份 package.json，逐条检查其中依赖是否存在公开安全漏洞，重点覆盖近 48 小时新披露的问题，弥补缓存型工具的时效缺口。
主要能力：解析 dependencies、devDependencies 及 peerDependencies，生成包名与版本清单；将包按每批最多 10 个分组，并并行调用多个抓取代理，分别查询 CVE MITRE、GitHub Security Advisories（npm 生态、按最新排序）和 npm 安全公告页；结果按用户实际安装版本判断是否受影响，跨源去重、标注补丁版本，并按严重程度排序。
使用方式：需先安装并登录 TinyFish，命令为 npm install -g tinyfish、tinyfish auth login，可用 tinyfish --version 与 tinyfish auth status 做前置检查。使用时替换 {BATCH_1}、{ALL_PACKAGES}、{TODAY} 等占位符，用 & 与 wait 并行运行代理，结果写入 /tmp 下的 JSON 文件后合并。
适用场景：项目上线前的依赖安全体检、关注新披露漏洞的日常巡检。
限制：只查询公开安全数据库，不执行代码、不上传文件，仅使用用户自己的凭据；对 48 小时窗口外的历史漏洞不覆盖，需完整历史扫描时使用 npm audit；无补丁时仅提示考虑移除或替换；包在数据库中无记录则跳过；若 CVE 库返回空，可改用 NVD 查询；大型 package.json（50+ 依赖）可把批量提高到 15，耗时更长。更多细节资料未提供。