用途：面向安全工程师，检测项目依赖中的供应链风险，包括依赖混淆、仿冒包及恶意包指标。
主要能力：使用 Confused 检查内部或私有包名是否已存在于公共仓库（依赖混淆）；使用 GuardDog 扫描或验证指定包与依赖文件，识别仿冒包、安装脚本、外联网络调用、混淆载荷、凭据窃取等可疑指标。
使用方式：先安装工具，Confused 用 go install github.com/nickvdyck/confused@latest，GuardDog 用 pip install guarddog，并以 confused --help 和 guarddog --version 验证。依赖混淆检查可用 confused -l npm package.json、confused -l pip requirements.txt、confused -l mvn pom.xml。仿冒或恶意包检查可用 guarddog pypi scan <package-name>、guarddog npm scan <package-name>，或整体验证 guarddog pypi verify requirements.txt、guarddog npm verify package.json。结果按包名、是否为内部私有、是否存在于公共仓库及风险等字段汇总，恶意指标按包名、指标、严重程度和描述汇总。
适用场景：审计 npm、Python、Maven 项目依赖，排查内部包名被公开注册、包名近似热门包、安装期执行可疑代码等情况。
限制与修复建议：资料未提供工具版本、支持范围或误报说明；修复建议使用作用域注册表、固定版本、校验校验和。