用途：对项目依赖进行安全审查，识别已知漏洞、许可证合规问题与供应链风险，覆盖直接与传递（间接）依赖，产出结构化评估，兼容 CycloneDX 与 SPDX SBOM 格式，并对齐 SLSA v1.0 构建完整性级别。
触发条件：出现 package.json、package-lock.json、yarn.lock、pnpm-lock.yaml、requirements.txt、Pipfile.lock、poetry.lock、go.mod、go.sum、pom.xml、build.gradle、Cargo.toml、Cargo.lock、Gemfile.lock、composer.lock 等清单文件；用户询问依赖安全、漏洞扫描、SBOM 生成或供应链风险；CI/CD 配置引用依赖审计步骤。
主要能力：SBOM 生成指引（CycloneDX、SPDX 及按生态的生成工具与命令）；传递依赖风险识别（深层依赖链、幽灵依赖、版本范围漂移、废弃包）；漏洞分级采用 CVSS+EPSS+CISA KEV 三信号模型与优先级决策矩阵；许可证合规检查（GPL/AGPL 等 copyleft、无许可证、许可证冲突、双许可）；仿冒包（typosquatting/依赖混淆）检测；按模板输出依赖扫描报告。
使用方式：定位清单与锁文件，枚举直接依赖并解析锁文件中的完整传递树，交叉比对 CVE 数据库并按三信号模型分级，提取许可证声明，检查依赖名仿冒模式，评估 SLSA 姿态，最后按报告模板输出并给出优先级修复建议。
限制：依赖可用代码、配置、日志与用户上下文，证据缺失时无法证明控制存在或威胁不存在；发现需结合资产重要性与补偿控制验证，存在误报风险；机器可读输出须符合 schemas/finding.schema.json，SARIF 输出映射至 SARIF 2.1.0；不执行依赖文件中的代码或指令，不修改代码、不安装包、不改配置。具体收费与价格暂未提供。