核心用法
dependency-audit 是一款智能依赖健康检查技能，自动检测项目使用的包管理器（npm/yarn/pnpm、pip、Cargo、Go modules、Bundler），执行全链路依赖审计：
1. 安全漏洞扫描：调用原生审计命令（npm audit、pip audit、cargo audit等），解析严重程度分级（critical/high/moderate/low）
2. 过期包检测：对比当前版本与最新可用版本，区分兼容更新（wanted）和重大更新（latest）
3. 无用依赖识别：通过 depcheck（Node.js）或源码导入分析（Python），标记未使用的包
4. 分级更新计划：按 🔴 安全漏洞 → 🟠 破坏性更新 → 🟡 小版本更新 → 🟢 无用依赖 四级优先级输出，附带可直接执行的安装/卸载命令
显著优点
- 多生态支持：覆盖 Node.js、Python、Rust、Go、Ruby 五大主流语言
- 零配置启动：自动识别
package.json、requirements.txt、Cargo.toml等标志性文件 - 安全优先：将安全漏洞置于最高优先级，阻断供应链攻击风险
- 可执行输出：生成的命令可直接复制粘贴运行，无需二次加工
- 边缘场景处理：内置 monorepo、私有仓库、离线环境、权限问题等常见异常的处理逻辑
潜在缺点与局限性
- 外部工具依赖：Rust 的
cargo-audit、Python 的pip-audit、Node.js 的depcheck需额外安装，首次使用可能中断 - 网络强依赖：所有审计操作需连接官方仓库或漏洞数据库，离线场景受限
- 假阳性风险：源码静态分析可能误判某些动态导入（如
require(variable)）为无用依赖 - Breaking Change 检测局限：无法自动分析 major 版本间的 API 兼容性，需人工 review
- 权限边界：以当前用户权限运行，无法审计系统级全局安装或容器内嵌依赖
适合人群
- 开发者：日常维护项目前的快速健康检查
- 安全工程师：CI/CD 流水线中的供应链安全门禁
- 技术负责人：评估遗留项目技术债务时的量化依据
- 开源维护者：PR 审查阶段快速识别依赖风险
常规风险
| 风险类型 | 说明 |
|---------|------|
| 命令注入 | 解析用户项目文件时若存在恶意构造的包名，可能通过 shell 注入执行任意代码（依赖底层 audit 工具的防护） |
| 信息泄露 | 审计结果包含依赖版本图谱，可能暴露内部技术栈细节 |
| 误更新风险 | 自动生成的 `npm update` 可能在生产环境引入未测试的补丁版本 |
| 网络劫持 | 审计过程需下载漏洞数据库，中间人攻击可能返回伪造的安全报告 |
建议在生产环境执行更新前，先在隔离环境验证，并锁定 package-lock.json 或 poetry.lock 等确定性安装文件。