审查依赖时至少需要确认包的维护频率、下载量、最近提交时间和已知漏洞公告。