第三方依赖漏洞自查

上线前要过依赖安全检查，开发手上有 composer.lock 和 npm 的锁文件，今天要给出高危包与升级方案。

【需求】
1. 列出直接依赖与传递依赖，分开统计。
2. 标出已知高危漏洞的包，写清漏洞类型与影响范围。
3. 给出升级路径：能小版本升的先升，要跨大版本的单独列。
4. 说明升级影响：会改动哪些调用、是否需要改代码。
5. 给一条命令，能一次检查全部依赖的漏洞。

【输出要求】
1. 先给一张表：包名、当前版本、安全版本、风险等级。
2. 再给升级顺序，按影响面从小到大排。
3. 每个跨大版本的包给一句迁移提示。
4. 不写「建议关注」这类无动作的结论，每条都要有下一步。
5. 每条升级建议标注验证方式，能用一条命令确认是否生效。