用途：指导依赖审计与升级，适用于审计依赖、升级存在漏洞的包、管理锁文件与包管理器、生成SBOM以及制定更新策略等场景。
主要能力：按生态给出包管理器默认选择（Node默认pnpm、Python默认uv、Rust用Cargo、Go用go modules、Java用Maven/Gradle wrapper、.NET用PackageReference、PHP用Composer）与版本查询方式；提供锁文件与工具链策略（提交应用锁文件、CI使用精确锁文件安装、避免手改锁文件、不携带多份锁文件、优先仓库内wrapper）；更新策略（patch小而频繁、minor批量测试、major隔离并审查发布说明与回滚计划、安全更新按可达性与利用证据排序）；供应链控制（官方registry、来源与签名验证、生成SBOM、审查安装与构建脚本、发布产物静态门禁、覆盖项设过期、发布年龄延迟、依赖混淆缓解）；以及AI建议依赖的风险检查清单。
使用方式：按工作流先识别生态、包管理器、锁文件与wrapper约定，再决定最小安全变更（添加、移除、固定、更新、审计或迁移），仅加载所需参考文件（如references/lockfile-management.md、references/security-scanning.md、references/update-strategies.md等），最后做可复现性检查、回滚说明与审计/SBOM跟进。漏洞检测可使用各生态原生审计工具（npm audit、pnpm audit、pip-audit、cargo audit、govulncheck、composer audit）或osv-scanner。脚本scripts/dep_auditor.py为策略清单评分器（非漏洞扫描器，无漏洞数据库，拒绝真实清单，未检查输入时以2退出），可用python3 scripts/dep_auditor.py --help查看用法。
适用场景：依赖审计、漏洞升级、锁文件与CI安装策略、SBOM与来源验证、monorepo工作区治理、更新与回滚流程设计。
限制：框架特定前端或后端实现、依赖层之外的AppSec架构、CI/CD平台设计需转用其他相应技能。该技能不提供具体价格、收费或效果承诺；部分细节如SKILL.md未展开内容暂未提供。