🔒 Dependency Scan — 供应链依赖扫描器

Overview

发布插件/技能前，扫描 package.json 依赖声明的供应链风险。规则：

• DEP-001 DSH 宿主遮蔽：@deepseek-ai/* 宿主接口包进普通 dependencies/bundledDependencies（遮蔽宿主风险）
• DEP-002 版本未锁定：依赖使用 ^/~/>=/* 范围符（可复现构建需精确锁定）
• DEP-003 高危/可疑依赖：内置基线（无维护/已知问题包；完整威胁情报需生态级规则库）
• DEP-004 peer 完整性：代码引用 @deepseek-ai/* 但 peerDependencies 未声明

Usage

python3 scripts/dependency-scan.py --dir <插件目录> --format json        # 离线（内置基线）
python3 scripts/dependency-scan.py --dir <插件目录> --online --format json  # 在线（OSV 已知漏洞/恶意包）

输出（JSON）

{
  "scanner": "dependency-scan@1.0.0",
  "issues": [
    { "rule": "DEP-002", "severity": "medium", "found": "版本未锁定: event-stream@^3.3.6" }
  ],
  "score": 85
}

实现说明（互不依赖，功能对齐）

• 本工具独立实现 DEP-001~004（不依赖 skill-compliance），与 skill-compliance 的 DEPENDENCY 检查功能对齐（同规则、同严重级）
• 两工具互不依赖：各自零依赖独立可跑（skill-compliance 是 STANDARD §7/§9 采纳的权威检查器；dependency-scan 是依赖专项工具）
• 对齐保证：tests/alignment.py 对同一用例断言两工具 DEP 判定一致；规则演进时两处同步更新并跑对齐测试
• 纯 Python 标准库，无网络请求，无第三方依赖；不执行代码、不安装依赖，只读 package.json 与入口文件