多语言项目依赖更新与安全审计：自动检测项目类型…

适用于任何语言项目的依赖管理：自动检测项目类型，安全应用 minor/patch 更新，逐个确认 major 更新，诊断冲突并执行安全审计。

适用场景

解决思路

1. 用户发出 update my dependencies、update deps、check for outdated packages、fix my dependency problems、audit dependencies for vulnerabilities 或 diagnose dependency issues 等请求时，启动依赖更新流程。
2. 扫描项目中的包文件以自动检测项目类型和包管理器：package.json 对应 Node.js/npm/yarn/pnpm；requirements.txt 或 pyproject.toml 对应 Python/pip 或 poetry；Pipfile 对应 Python/pipenv；go.mod 对应 Go/go modules；Cargo.toml 对应 Rust/cargo；Gemfile 对应 Ruby/bundler；pom.xml 对应 Java/Maven；build.gradle 对应 Java/Kotlin/Gradle；*.csproj 对应 .NET/dotnet。
3. monorepo 检测顺序：先检查当前目录，再检查 workspace/monorepo 模式，若适用则询问是否递归运行。
4. 检查前置工具是否已安装：验证所需工具，缺失时建议安装；例如运行 scripts/check-tool.sh taze 'npm install -g taze'。
5. Node.js 使用 taze 时，可全局安装 npm install -g taze，或使用 npx taze。
6. 扫描依赖更新并分类：Fixed（无 ^ 或 ~，有意固定）跳过；PATCH（x.y.z → x.y.Z）自动应用；MINOR（x.y.z → x.Y.0）自动应用；MAJOR（x.y.z → X.0.0）逐个提示用户。
7. Node.js 扫描更新：运行 taze；自动应用 minor/patch：taze minor --write；应用指定 major：taze major --write --include pkg1,pkg2；monorepo 递归：taze -r；安全审计：npm audit、npm audit fix。
8. Python 扫描过期：pip list --outdated；更新全部：pip-review --auto；更新指定包：pip install --upgrade package-name；安全审计：pip-audit、safety check。
9. Go 扫描过期：go list -m -u all；更新全部：go get -u ./...；整理：go mod tidy；安全审计：govulncheck ./...。
10. Rust 扫描过期：cargo outdated；在 semver 内更新：cargo update；安全审计：cargo audit。
11. Ruby 扫描过期：bundle outdated；更新全部：bundle update；保守更新指定 gem：bundle update --conservative gem-name；安全审计：bundle audit。
12. Java/Maven 扫描过期：mvn versions:display-dependency-updates；更新到最新发布：mvn versions:use-latest-releases；安全审计：mvn dependency:tree、mvn dependency-check:check。
13. .NET 扫描过期：dotnet list package --outdated；更新指定包：dotnet add package PackageName；安全审计：dotnet list package --vulnerable。
14. 自动应用所有 MINOR 和 PATCH 更新，并报告更新了哪些包。
15. 对每个 MAJOR 更新使用 AskUserQuestion 逐个询问用户，显示 current → new version，不批量提示。
16. 只更新已批准的 MAJOR 包，例如 Node.js 使用 taze major --write --include approved-pkg1,approved-pkg2。
17. 收尾：运行安装命令（如 npm install、pnpm install、yarn），然后运行安全审计。
18. 安全审计严重性响应：Critical 立即修复；High 24 小时内修复；Moderate 1 周内修复；Low 下个发布修复。
19. Node.js 安全审计可运行 npm audit --json | jq '.metadata.vulnerabilities' 查看漏洞元数据。
20. 依赖损坏时运行诊断模式：版本冲突症状 Cannot resolve dependency tree，修复方式为 clean install 并使用 overrides/resolutions。
21. 诊断 Peer Dependency 问题：症状 Peer dependency not satisfied，修复方式为安装所需 peer 版本。
22. 诊断安全漏洞：npm audit 显示问题，修复方式为 npm audit fix 或手动更新。
23. 诊断未使用依赖：包膨胀，运行 depcheck（Node）或等价工具。
24. 诊断重复依赖：安装多个版本，运行 npm dedupe 或等价操作。
25. Node.js 紧急核重置：rm -rf node_modules package-lock.json；npm cache clean --force；npm install。
26. Python 清理 virtualenv：rm -rf venv；python -m venv venv；source venv/bin/activate；pip install -r requirements.txt。
27. Go 重置模块：rm go.sum；go mod tidy。
28. Node.js 冲突诊断：npm ls package-name、npm explain package-name、yarn why package-name；解决方式：在 package.json 中使用 overrides，或在 Yarn 中使用 resolutions，如 lodash: ^4.18.0。
29. Python 冲突诊断：pip check、pipdeptree -p package-name；解决方式：使用虚拟环境 python -m venv venv；source venv/bin/activate；pip install -r requirements.txt；或使用约束 pip install -c constraints.txt -r requirements.txt。
30. 遵循语义化版本：MAJOR.MINOR.PATCH；MAJOR 为破坏性变更，需要改代码；MINOR 为新增功能，向后兼容；PATCH 为 bug 修复，向后兼容。
31. 版本范围说明符：^1.2.3 允许 Minor+Patch（>=1.2.3 <2.0.0）；~1.2.3 仅 Patch（>=1.2.3 <1.3.0）；1.2.3 精确固定；>=1.2.3 至少该版本；* 任意最新版本（危险）。
32. 推荐版本策略：critical-lib 使用精确版本如 1.2.3；stable-lib 使用 ~1.2.3；modern-lib 使用 ^1.2.3。
33. 自动批准例外：lucide-react 图标库 major 通常是新增，@types/* 类型定义通常安全，可考虑自动批准其 major 更新。
34. 避免反模式：不更新 Fixed 固定版本；不自动应用 MAJOR；不批量提示 MAJOR，要逐个提示；不跳过 lock 文件，始终提交 lock 文件；不忽略安全告警，按严重性处理。
35. 更新后验证清单：更新扫描无错误；MINOR/PATCH 已自动应用；MAJOR 已逐个提示；Fixed 版本未改动；lock 文件已更新；安装命令已运行；安全审计通过或记录问题。
36. 脚本参考：scripts/check-tool.sh 验证工具已安装；scripts/run-taze.sh 用正确 flags 运行 taze。
37. 相关工具：taze（Node.js 智能依赖更新）、npm-check-updates（Node.js 替代）、pip-review（Python 交互更新）、cargo-edit（Rust 依赖管理）、bundler-audit（Ruby 安全审计）。

适用边界 · 注意事项

• 对未支持的语言或没有包管理文件的项目不适用。
• 对有意固定、无 ^ 或 ~ 的 Fixed 版本，不要更新。
• 当无法安装所需工具（taze、pip-review、cargo-edit 等）或环境不允许修改依赖时，不适用。