请检查 Node.js 应用的依赖版本、锁文件和安全通告，理解旧依赖为何带来风险并找到旗标。
从 `package.json` 和 lockfile 列出依赖
用 `npm audit --production` 检查已知问题
将版本与可信安全通告逐项比对
