{
  "_doc": [
    "依赖漏洞**例外**登记表。判据与分级在 scripts/check_deps_vuln.py，CI 会跑它。",
    "只有 high/critical（以及 govulncheck 的任何命中）才需要例外；moderate 及以下只记录。",
    "一条例外要**全部**字段齐全才算有效，缺一个就当成没有例外：",
    "  tool         : govulncheck | npm-audit",
    "  id           : 漏洞编号（govulncheck 用 GO-xxxx-yyyy，npm 用 GHSA-xxxx-xxxx-xxxx）",
    "  package      : 包名（给 npm 用；govulncheck 填模块名）",
    "  severity     : critical | high（govulncheck 的命中填空字符串）",
    "  scope        : prod | dev | build",
    "  reason       : 为什么这个风险在本仓不适用 / 不可修",
    "  owner        : 谁负责在到期前处理",
    "  approved_by  : 谁批准的（必须是**人**；写 TBD/pending/self 一律判为无效）",
    "  expires_on   : YYYY-MM-DD，过期当天即失效 —— 过期不是\"继续有效\"，是\"重新走一遍审批\"",
    "纪律：例外是记账，不是免检。到期没人处理 ⇒ 门禁红 ⇒ 必须有人做决定。"
  ],
  "exceptions": []
}