第三方 SDK 與相依套件健康度

行動專案的相依樹往往比團隊記憶中更龐大。審查時我們會列出直接依賴、授權類型、最後更新時間，以及是否仍支援目標 OS 版本。

追蹤與廣告 SDK 特別需要對照隱私政策與實際初始化時機：是否在取得同意前就啟動、是否在除錯建置中也被帶入。這類問題既是合規風險，也會影響啟動效能。

過時的網路或影像處理函式庫可能帶有已知 CVE。我們不會宣稱「完整漏洞掃描」，但會標出明顯停更且處於攻擊面的套件，建議升級路徑或替換選項。

健康的相依策略是：少數可信來源、可重現的鎖定檔、以及升級時的回歸清單。稽核報告會把「必須動」與「可觀察」分開，避免一次大爆炸升級。