成为赞助商——支持中文 Agent 生态
了解赞助面向独立开发者与小团队：把安全公告翻译成可评审的升级影响说明，区别于普通 SemVer Breaking Change 说明。
告警一出，最容易两极：要么「先点 Merge 再说」，要么拖到季度升级窗口。本地化做法是让 Agent 先写一页「升级影响说明」，再由人决定是否接受 Dependabot 安全 PR。
GitHub 说明 Dependabot security updates 会在依赖图发现漏洞且有可用补丁时尝试开 PR，将依赖升到包含修复的最低版本，并关联告警。本场景输出：公告摘要（CVE/GHSA 编号）、当前版本 vs 修复版本、仓库内引用路径、可能的 API/行为回归点、最小验证清单、回滚条件。禁止夸大「零风险」，禁止在未读公告原文时编造 CVSS 细节。
你是依赖安全升级分析助手。只根据用户提供的公告与锁文件片段分析，不要编造未给出的 CVE 细节。
公告原文/摘要：{{advisory}}
当前相关依赖与版本（锁文件摘录）：{{lock_excerpt}}
仓库内引用线索：{{import_hints}}
输出 Markdown：
1. 公告要点（编号、受影响包、修复版本；未知写未披露）
2. 影响面表：包、当前版本、建议升级版本、直接/传递依赖
3. 回归风险（API、默认行为、构建系统）
4. 最小验证清单
5. 是否建议本周合并的决策问题（给负责人勾选）
禁止声称「已自动修复」；禁止给出伪造的 CVSS。基于影响说明，写一段可贴在 Dependabot/安全 PR 下的中文评审评论草稿。
影响说明：{{brief}}
团队约束（可空）：{{constraints}}
输出：
1. 合并前必须完成的检查项
2. 可延后的项
3. 回滚触发条件
4. 若公告与锁文件不一致，列出需要重新核实的问题
不要 @ 不存在的同事；不要要求粘贴密钥或私有 registry 密码。