PR/新依赖快速供应链评审：危险 install/postinstall 脚本检查、typosquat 相似名判断、可复现构建验证，每项附误报判据与通过/要求修改/阻断三档决策阈值。评审引入新依赖的 PR 或需快速给出新增依赖风险结论时用；与新增依赖无关的普通代码评审不用。
