Security Deps

---
name: security-deps
description: "Read-only аудит зависимостей: CVE, severity, breaking upgrades и false positives по lock-файлам."
---

# Задача: аудит зависимостей

Проведи аудит зависимостей (**read-only**); по умолчанию — корень репозитория и все воркспейсы (разбор — `$security-audit`).

1. Найди `package.json` + lock-файлы; в монорепо — по каждому воркспейсу.
2. `npm audit --json` (или `pnpm audit`/`yarn npm audit` по lock-файлу). Реестр недоступен — честно скажи «CVE-проверка не выполнена» и ограничься разбором lock-файла; «уязвимостей нет» без прогона не заявляй.
3. По каждой CVE: пакет@версия, severity, прямой/транзитивный путь (`npm ls <pkg>`), достижимость (dev-only/недостижимое — вероятный false positive, отдельно).
4. Фикс: патч в диапазоне → major bump (ломающее — отдельная задача + changelog) → `overrides` для транзитивных без фикса (временно).

Ничего не устанавливай и не обновляй — только анализ; значимое — `add_task` на `$backend`/`$frontend`. Доказательство — сводка вывода `npm audit`.