依赖变更评审门禁（Dependency Review）

对 PR 中新增或升级的依赖做专项检查：已知漏洞、许可证变化与降级风险；GitHub 的 dependency-review-action 可在 PR 上直接阻断高危引入。

检查对象	本次 PR 的依赖差异（新增、升级、降级）
常见策略	拒绝新增高危漏洞依赖，禁止降级
工具	actions/dependency-review-action，可配合 Dependabot/Renovate
输出	PR 评论中给出差异与放行或阻断结论

GitHub Actions 配置

- uses: actions/dependency-review-action@v4
  with:
    fail-on-severity: high
    deny-licenses: GPL-3.0, AGPL-3.0

把该检查加入分支保护的必需状态：绕过 PR 的直接推送将无法进入主分支。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌