依赖更新分诊台

帮小团队把 Dependabot 的 CVE 洪流按真实风险排好队

痛点

小项目没有私有依赖仓库和专人做版本审核，Dependabot 一天弹出十几条 PR，CVE 数量多到让人麻木，团队要么全部盲合并，要么干脆忽略。开发者明确在问：没有私有 registry 的情况下，小团队到底该怎么务实地决定先升哪个、能不能不升。

方案

接入 GitHub 仓库后，抓取依赖更新 PR 与安全公告，结合项目实际使用路径、是否直接依赖、是否暴露在运行时、是否有破坏性变更记录，为每条更新打出一个「现在处理 / 可以等 / 建议忽略」的分诊标签，并生成一份每周只需 10 分钟看完的升级清单。

用户

2～15 人的小团队、个人开源维护者、没有平台工程团队的早期创业公司

MVP

GitHub App 一键授权只读仓库；解析 package-lock / go.mod / requirements 等主流清单；按直接/间接依赖与运行时暴露度排序；每周摘要邮件 + 一键静音低风险 PR；先只支持 JavaScript 与 Python

变现

按仓库数订阅，免费 1 个仓库；小团队 19 美元/月；另可卖「升级风险评估」报告给合规敏感客户

为何现在

依赖数量与 CVE 披露持续暴涨，大厂有平台团队，小团队只能在噪音里游泳；GitHub API 与安全公告数据足够开放，单人就能做出分诊逻辑，核心是策略而非算力