添加依赖锁文件审计

审计你发布的产物

审计只有针对生成构建的锁文件才有意义。在解析结果不同的开发环境中运行，可能漏报或误报。提交锁文件，在 CI 中使用冻结安装，并把生产依赖审计设为必需检查。

pnpm install --frozen-lockfile
pnpm audit --prod --audit-level high
pnpm why vulnerable-package

有证据地修复

找出引入漏洞包的直接依赖。优先升级直接依赖到拉取已修复传递版本的版本。如果没有修复，评估漏洞代码路径是否可达，记录带负责人和期限的例外，并考虑替换该包。全局覆盖可能破坏无关消费者。

让门禁可信

对高危和严重问题失败，但保留带到期日期的书面例外清单。对数百个低危或仅开发依赖问题失败的门禁会被绕过。在拉取请求中审查锁文件差异，运行测试，并确认修复后的版本确实出现在最终产物中。

验证审计

预期结果：冻结安装成功，审计没有未豁免的高危或严重问题，锁文件中存在修复版本，测试通过。通过故意引入一个已知高危包验证门禁会失败，再移除它确认恢复通过。