（2277期）Dependency Audit – 一键扫描依赖风险 · 智能分级修复

一键扫描依赖风险 · 智能分级修复 自动化依赖健康检查工具，支持多语言生态系统的安全漏洞扫描、过期包检测、无用依赖清理及分级更新方案生成。 使用说明 核心用法 dependency-audit 是一款智能依赖健康检查技能，自动检测项目使用的包管理器（npm/yarn/pnpm、pip、Cargo、Go modules、Bundler），执行全链路依赖审计： 安全漏洞扫描：调用原生审计命令（npm audit、pip audit、cargo audit等），解析严重程度分级（critical/high/moderate/low） 过期包检测：对比当前版本与最新可用版本，区分兼容更新（wanted）和重大更新（latest） 无用依赖识别：通过 depcheck（Node.js）或源码导入分析（Python），标记未使用的包 分级更新计划：按 🔴 安全漏洞 → 🟠 破坏性更新 → 🟡 小版本更新 → 🟢 无用依赖 四级优先级输出，附带可直接执行的安装/卸载命令 显著优点 多生态支持：覆盖 Node.js、Python、Rust、Go、Ruby 五大主流语言 零配置启动：自动识别 package.json、requirements.txt、Cargo.toml 等标志性文件 安全优先：将安全漏洞置于最高优先级，阻断供应链攻击风险 可执行输出：生成的命令可直接复制粘贴运行，无需二次加工 边缘场景处理：内置 monorepo、私有仓库、离线环境、权限问题等常见异常的处理逻辑 潜在缺点与局限性 外部工具依赖：Rust 的 cargo-audit、Python 的 pip-audit、Node.js 的 depcheck 需额外安装，首次使用可能中断 网络强依赖：所有审计操作需连接官方仓库或漏洞数据库，离线场景受限 假阳性风险：源码静态分析可能误判某些动态导入（如 require(variable)）为无用依赖 Breaking Change 检测局限：无法自动分析 major 版本间的 API 兼容性，需人工 review 权限边界：以当前用户权限运行，无法审计系统级全局安装或容器内嵌依赖 适合人群 开发者：日常维护项目前的快速健康检查 安全工程师：CI/CD 流水线中的供应链安全门禁 技术负责人：评估遗留项目技术债务时的量化依据 开源维护者：PR 审查阶段快速识别依赖风险 常规风险 | 风险类型 | 说明 ||---------|------|| 命令注入 | 解析用户项目文件时若存在恶意构造的包名，可能通过 shell 注入执行任意代码（依赖底层 audit 工具的防护） || 信息泄露 | 审计结果包含依赖版本图谱，可能暴露内部技术栈细节 || 误更新风险 | 自动生成的 npm update 可能在生产环境引入未测试的补丁版本 || 网络劫持 | 审计过程需下载漏洞数据库，中间人攻击可能返回伪造的安全报告 | 建议在生产环境执行更新前，先在隔离环境验证，并锁定 package-lock.json 或 poetry.lock 等确定性安装文件。 原始说明 Smart dependency health check — security audit, outdated detection, unused deps, and prioritized update plan