dependency-audit — 智能依赖健康检查

自动识别项目所用的包管理器，执行安全审计，发现过时及未使用的依赖项，并生成优先级明确的更新方案。

步骤

1. 识别包管理器

检查项目根目录下是否存在以下文件：

若发现多个匹配文件，则对全部进行审计；若未发现任何匹配文件，则中止流程并提示用户。

2. 执行安全审计

Node.js：

npm audit --json 2>/dev/null
# 解析内容：漏洞通告（advisories）、严重程度（critical/high/moderate/low）、受影响包、是否提供修复版本

Python：

pip audit --format=json 2>/dev/null || pip audit 2>/dev/null
# 若未安装 pip-audit：pip install pip-audit

Rust：

cargo audit --json 2>/dev/null
# 若未安装：cargo install cargo-audit

3. 检查过时的包

Node.js：

npm outdated --json 2>/dev/null
# 输出字段：当前版本（current）、期望版本（wanted，语义化兼容）、最新版本（latest）

Python：

pip list --outdated --format=json 2>/dev/null

Rust：

cargo outdated -R 2>/dev/null
# 若未安装：cargo install cargo-outdated

4. 识别未使用的依赖项

Node.js — 使用 depcheck：

npx depcheck --json 2>/dev/null

该命令报告未使用的依赖项以及缺失的依赖项。若 npx 执行失败，则手动扫描源文件：

# 从 package.json 中列出所有依赖项，再在源码中搜索导入语句
# 标记所有未在任何 .js/.ts/.jsx/.tsx 文件中被引用的依赖项

Python：对比源码导入与已安装包：

# 从 .py 文件中提取 import 语句
grep -rh "^import |^from " --include="*.py" . | sort -u
# 与 requirements.txt 中的条目比对

5. 生成优先级更新计划

将检测结果按风险与影响程度划分为不同优先级层级：

## 🔴 关键级 — 安全漏洞
| 包名 | 严重程度 | 当前版本 | 修复版本 | 命令 |
|---------|----------|---------|----------|---------|
| lodash | CRITICAL | 4.17.19 | 4.17.21 | `npm install lodash@4.17.21` |

## 🟠 高危级 — 存在不兼容更新
| 包名 | 当前版本 | 最新版本 | 不兼容变更说明 |
|---------|---------|--------|-----------------|
| express | 4.18.2 | 5.0.0 | 新增 Router API |

## 🟡 中等级 — 次要/补丁更新
| 包名 | 当前版本 | 最新版本 | 命令 |
|---------|---------|--------|---------|
| axios | 1.5.0 | 1.6.2 | `npm install axios@1.6.2` |

## 🟢 低风险级 — 未使用的依赖项
| 包名 | 操作建议 |
|---------|--------|
| moment | `npm uninstall moment` |

6. 提供安全的更新命令

针对批量更新，生成可直接复制粘贴执行的命令：

# 安全修复（安全 — 仅应用补丁级更新）
npm audit fix

# 所有兼容性更新（非破坏性）
npm update

# 特定不兼容更新（需充分测试）
npm install express@5.0.0

Python 示例：

pip install --upgrade package_name

7. 输出摘要报告

# 依赖健康报告 — [project-name]
**日期：** 2025-02-15 | **生态体系：** Node.js（npm）

| 类别 | 数量 |
|----------|-------|
| 🔴 安全漏洞 | 2 |
| 🟠 可升级的重大版本 | 3 |
| 🟡 次要/补丁版本更新 | 8 |
| 🟢 未使用的依赖项 | 1 |
| ✅ 已为最新版本 | 42 |

边界情况处理

• 锁文件冲突：若 package-lock.json 不同步，应先运行 npm install
• 私有仓库：npm audit 可能失败 — 建议添加参数 --registry=https://registry.npmjs.org
• 单体仓库（Monorepo）：需逐个工作区检查。npm 用户可使用：npm audit --workspaces
• 离线环境：提示用户审计功能需网络连接
• 审计工具未安装：提供对应安装命令（例如：pip install pip-audit）

错误处理

由 Clawb（SOVEREIGN）开发 — 更多能力敬请期待 [coming soon]