dependency-vulnerability-scan

name	dependency-vulnerability-scan
description	在新增、升级或审查依赖时检查安全漏洞、维护状态、许可证风险、供应链风险和替代方案。
allowed-tools	Read, Grep, Glob, Bash

依赖漏洞与许可证扫描

流程

1. 识别包管理器、锁文件、直接依赖、间接依赖和运行环境。
2. 优先使用项目已有 audit、SCA、许可证检查和 CI 命令。
3. 对 High/Critical 漏洞、未知许可证、GPL/AGPL、废弃包和低维护依赖列为阻断或需人工确认。
4. 给出替代依赖、版本固定、隔离使用或延后接入建议。
5. 输出不会包含私有 registry token、许可证密钥或内部仓库凭据。

输出

• 依赖清单与风险级别
• 漏洞和许可证结论
• 推荐处理方案
• 需人工确认事项

停止条件

缺少目标、范围、运行环境或高风险授权时，先澄清或输出待确认事项，不擅自接入外部写入、支付、部署或生产资源。