用途：面向安全工程师的供应链风险检测技能，用于排查项目依赖中的依赖混淆漏洞、仿冒包（typosquatting）风险与恶意包指标。
主要能力：
- 依赖混淆检测（Confused）：检查内部/私有包名是否已存在于公共仓库。支持 npm、Python、Maven，示例命令：confused -l npm package.json、confused -l pip requirements.txt、confused -l mvn pom.xml，结果以表格列出包名、是否为私有/内部包、是否存在于公共仓库及风险。
- 仿冒包与恶意包检测（GuardDog）：扫描指定包或整个依赖文件，示例命令：guarddog pypi scan <package-name>、guarddog npm scan <package-name>、guarddog pypi verify requirements.txt、guarddog npm verify package.json。结果以表格列出包名、指标、严重程度与说明。
- 汇总输出：列出存在依赖混淆风险的包（私有名已公开）、含仿冒指标的包、以及安装脚本可疑、数据外传或代码混淆的包，并给出修复建议：使用作用域仓库、固定版本、校验校验和。
检查的恶意指标包括：安装脚本（npm install/pip install 期间执行代码）、网络调用（安装时回连）、混淆（Base64/十六进制载荷）、仿冒（名称近似热门包）、数据外传（读取环境变量、SSH 密钥或凭证）、依赖混淆（内部名被发布到公共仓库）。
使用方式与前提：需预先安装 Confused（go install github.com/nickvdyck/confused@latest）与 GuardDog（pip install guarddog），并用 confused --help 和 guarddog --version 验证。适用于需要检查依赖混淆漏洞、仿冒风险或恶意包指标的项目依赖审计场景。限制：资料未提供更多平台、定价或效果细节。