本工具做本地 lockfile / SBOM 结构摘要和风险提示，不联网查询 CVE。