核心用法
dep-audit 是一款多语言依赖安全审计工具，用户只需指向项目目录，即可自动检测并报告已知漏洞（CVE）。它支持 npm（Node.js）、pip（Python）、Cargo（Rust）、Go 四大主流生态，无需 API 密钥或复杂配置，真正实现"开箱即用"。
使用流程高度标准化：首先通过检测脚本发现项目中的锁文件（lockfile）和可用工具；随后对每个检测到的生态运行专用审计脚本；最后通过聚合器统一输出 JSON 数据与 Markdown 报告，并按严重程度分级展示。若用户主动要求修复，工具会列出具体升级命令（含当前版本和目标版本），但必须经用户显式确认后才会执行，且会建议先创建 Git 分支隔离变更。
显著优点
1. 零配置启动：无需注册账号、申请 API 密钥或编辑配置文件，对开发者极为友好。
2. 多生态覆盖：单工具覆盖前端、Python、Rust、Go 四大技术栈，避免多工具切换的碎片化。
3. 安全优先设计：默认仅报告漏洞，所有修复操作需用户二次确认，杜绝误操作风险。
4. 隐私友好：数据仅与公开漏洞数据库（OSV、GitHub Advisory、RustSec）通信，无遥测、无追踪、无数据回传。
5. 结构化输出：同时提供机器可读的 JSON 和人工可读的 Markdown 报告，支持 SBOM（软件物料清单）生成，满足合规需求。
6. Discord 场景优化：针对聊天场景设计分块输出和交互按钮，避免大段表格刷屏。
潜在缺点与局限性
- 审计范围受限：当前版本（v0.1.x）仅支持
package-lock.json，yarn.lock和pnpm-lock.yaml需手动运行对应命令；暂不支持 Maven、Gradle、NuGet 等生态。 - 非实时检测：依赖公开漏洞数据库，无法识别零日漏洞（zero-day）或运行时漏洞。
- 工具链依赖：审计和聚合阶段强制依赖
jq，若未安装需手动处理。 - 修复粒度较粗：提供的修复建议为包级别升级，无法自动评估兼容性风险，复杂项目仍需人工 review。
适合人群
- 需要快速了解项目安全基线的独立开发者和中小团队
- 在 CI/CD 或聊天机器人场景中集成安全检查的DevOps 工程师
- 需要生成 SBOM 以满足供应链合规要求的安全审计人员
- 技术栈混杂、希望统一安全工具链的全栈团队
常规风险
1. 修复操作风险：即使显式确认，npm audit fix 或 pip install --upgrade 仍可能引入破坏性变更，建议始终在分支环境中执行。
2. 锁文件解析失败：若锁文件格式异常或损坏，该生态的审计会被跳过，可能产生"漏报"错觉。
3. 网络依赖：工具需联网查询漏洞数据库，离线环境或网络受限场景无法使用。
4. 超时与工具缺失：部分审计工具运行可能超过 30 秒或被系统限制，导致该生态结果被跳过。