dsh-dep-audit

npm 投毒往往不是等你 import 才动手：postinstall 在 npm install 当下就可能执行恶意命令，event-stream、ua-parser-js 等事件都走这条路。日常装一个「看起来正常」的依赖，也可能在构建机或开发者本机悄悄埋下后门。

dsh-dep-audit 把供应链里几类常见红旗收成一条审计：高优先级关注带 install/postinstall 的依赖；中优先级覆盖缺少 lockfile、版本写成 * 或 latest、以及 git/http 等非 registry 来源；低优先级提示 >= 无上界的宽松约束。esbuild、sharp、puppeteer 等合理需要安装脚本的包已在白名单里，其余命中项仍需你人工确认——它不替代安全判断，而是把「装包即执行」和「依赖写得过松」提前亮出来。

它不做 CVE 漏洞库比对，也不做包名相似度（typosquat）检测，定位是装包阶段的投毒与来源风险，而不是全面 SCA。适合在引入新依赖、升级 lockfile、或 CI 里对物料做一道轻量门禁的团队；与许可审计、CI 安全、SBOM 等插件配套使用，能把「供应链与构建」这一环补得更完整。