📦

shadcn

Name: shadcn
Author: shadcn

Revisión del contenido r2 Seguro 🌐 Acceso a red📁 Acceso al sistema de archivos⚙️ Comandos externos

Crea interfaces shadcn/ui más rápido

Crear interfaces shadcn/ui requiere el contexto actual del proyecto y patrones de componentes estrictos. Esta habilidad guía a Claude, Codex y Claude Code a través de flujos de trabajo de CLI y reglas de UI.

Compatible con: Claude Codex Code(CC)

📊 73 Adecuado

Instalar con mi Agente

Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.

Solicitud de agente

Review the Skillstore skill "shadcn" from https://skillstore.io/skills/shadcn-shadcn.md and its manifest at https://skillstore.io/api/skills/shadcn-shadcn/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.

Recursos legibles por agentes

Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.

Detalle Markdown GET /skills/shadcn-shadcn.md Manifest firmado GET /api/skills/shadcn-shadcn/manifest Lockfile firmado GET /api/skills/shadcn-shadcn/lockfile

Pruébalo

Usando "shadcn". Crea un diálogo de edición de perfil con avatar, campos y botones Save y Cancel.

Resultado esperado:

Proporciona un enfoque de diálogo usando DialogTitle, AvatarFallback, iconos de botón adecuados, imports de iconos del proyecto y composición de formulario accesible.

Usando "shadcn". Actualiza el componente Button conservando los cambios locales.

Resultado esperado:

Recomienda dry-run y revisión de diff, identifica archivos afectados, conserva ediciones locales y pregunta antes de cualquier paso de sobrescritura.

Usando "shadcn". Agrega un bloque de card de estadísticas de dashboard desde un registro comunitario.

Resultado esperado:

Comprueba el nombre del registro, previsualiza archivos, revisa imports y dependencias, y luego aplica reglas de composición y estilo de shadcn.

Auditoría de seguridad

Seguro

v6 • 23/7/2026 Abrir el informe versionado

Most detections are false positives from Markdown, TSX templates, accessibility attributes, documentation links, and relative references. The skill legitimately runs an unpinned shadcn CLI, retrieves remote registry content, and can modify project files. No prompt injection, credential theft, covert persistence, or data-exfiltration intent was found.

Archivos escaneados

2,460

Líneas analizadas

Elementos de revisión

Falsos positivos ignorados

Elementos de revisión de capacidades (30)

Estas son capacidades locales reales que pueden esperarse para esta habilidad, por lo que requieren revisión, pero no se cuentan como comportamiento malicioso confirmado.

Alto

SKILL.md:17-18

Ruby/shell backtick execution

!`npx shadcn@latest info --json`

The injection directive automatically executes npx shadcn@latest info --json, downloading mutable code and reading project metadata without a separate prompt.

Medio

SKILL.md:12

Ruby/shell backtick execution

> **IMPORTANT:** Run all CLI commands using the project's package runner: `npx shadcn@latest`, `pnpm

The skill directs agents to execute the mutable shadcn@latest package, creating expected package supply-chain and command-execution exposure.

Medio

SKILL.md:20-24

Ruby/shell backtick execution

The JSON above contains the project config and installed components. Use `npx shadcn@latest docs <co

Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.

Medio

SKILL.md:24-26

Ruby/shell backtick execution

1. **Use existing components first.** Use `npx shadcn@latest search` to check registries before writ

Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.

Medio

SKILL.md:55

Ruby/shell backtick execution

- **Use `asChild` (radix) or `render` (base) for custom triggers.** Check `base` field from `npx sha

Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.

Medio

SKILL.md:86

Ruby/shell backtick execution

- **Never decode preset codes or build preset URLs manually.** Use `npx shadcn@latest preset decode

Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.

Medio

SKILL.md:87

Ruby/shell backtick execution

- **Apply preset codes directly with the CLI.** Use `npx shadcn@latest apply <code>` for existing pr

The apply and init commands execute a remote CLI and modify project configuration or source files.

Medio

SKILL.md:160

Ruby/shell backtick execution

- **`packageManager`** → use this for any non-shadcn dependency installs (e.g. `pnpm add date-fns` v

This instruction can install dependencies with the project package manager, causing network access and project changes.

Medio

SKILL.md:161

Ruby/shell backtick execution

- **`preset`** → resolved preset code and values for the current project. Use `npx shadcn@latest pre

Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.

Medio

SKILL.md:167-169

Ruby/shell backtick execution

Run `npx shadcn@latest docs <component>` to get the URLs for a component's documentation, examples,

This instruction executes the mutable CLI and fetches returned URLs, creating legitimate network and remote-content exposure.

Medio

SKILL.md:173-177

Ruby/shell backtick execution

**When creating, fixing, debugging, or using a component, always run `npx shadcn@latest docs` and fe

This instruction executes the mutable CLI and fetches returned URLs, creating legitimate network and remote-content exposure.

Medio

SKILL.md:177-178

Ruby/shell backtick execution

1. **Get project context** — already injected above. Run `npx shadcn@latest info` again if you need

Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.

Medio

SKILL.md:179-180

Ruby/shell backtick execution

3. **Find components** — `npx shadcn@latest search`.

Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.

Medio

SKILL.md:180

Ruby/shell backtick execution

4. **Get docs and examples** — run `npx shadcn@latest docs <component>` to get URLs, then fetch them

This instruction executes the mutable CLI and fetches returned URLs, creating legitimate network and remote-content exposure.

Medio

SKILL.md:181

Ruby/shell backtick execution

5. **Install or update** — `npx shadcn@latest add`. When updating existing components, use `--dry-ru

The add command downloads registry content and writes project files. Dry-run and diff guidance reduces this expected risk.

Medio

SKILL.md:182

Ruby/shell backtick execution

6. **Fix imports in third-party components** — After adding components from community registries (e.

The workflow modifies imports in downloaded third-party files and reruns the CLI, creating project-write and dependency trust risk.

Medio

SKILL.md:186

Ruby/shell backtick execution

- **Inspect current preset**: `npx shadcn@latest preset resolve`. Use `--json` when you need structu

Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.

Medio

SKILL.md:187

Ruby/shell backtick execution

- **Inspect incoming preset**: `npx shadcn@latest preset decode <code>`. Use `preset url <code>` or

Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.

Medio

SKILL.md:188-189

Ruby/shell backtick execution

- **Overwrite**: `npx shadcn@latest apply <code>`. Overwrites detected components, fonts, and CSS va

The apply command intentionally overwrites components, fonts, and CSS variables after user selection, creating substantial project modification risk.

Medio

SKILL.md:189

Ruby/shell backtick execution

- **Partial**: `npx shadcn@latest apply <code> --only theme,font`. Updates only the selected preset

The partial apply command intentionally rewrites selected theme or font files, creating controlled project modification risk.

Medio

SKILL.md:190

Ruby/shell backtick execution

- **Merge**: `npx shadcn@latest init --preset <code> --force --no-reinstall`, then run `npx shadcn@l

The merge workflow runs forced initialization and repeated CLI operations that can alter configuration and component files.

Medio

SKILL.md:191-192

Ruby/shell backtick execution

- **Skip**: `npx shadcn@latest init --preset <code> --force --no-reinstall`. Only updates config and

The forced initialization command intentionally updates project configuration and CSS while preserving components.

Medio

SKILL.md:192

Ruby/shell backtick execution

- **Important**: Always run preset commands inside the user's project directory. `apply` only works

Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.

Medio

SKILL.md:198-199

Ruby/shell backtick execution

1. Run `npx shadcn@latest add <component> --dry-run` to see all files that would be affected.

Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.

Medio

SKILL.md:199-203

Ruby/shell backtick execution

2. For each file, run `npx shadcn@latest add <component> --diff <file>` to see what changed upstream

Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.

Medio

SKILL.md:203-204

Ruby/shell backtick execution

- User says "just update everything" → use `--overwrite`, but confirm first.

This permits destructive overwrite after explicit user approval. It is expected behavior but remains a project-write risk.

Medio

SKILL.md:208-259

Ruby/shell backtick execution

```bash

The fenced reference contains executable init, apply, add, search, and view commands that can download content and modify projects.

Bajo

cli.md:107

Hardcoded URL

npx shadcn@latest add https://api.npoint.io/abc123 --dry-run

The documented command retrieves content from a third-party registry URL. Dry-run limits writes, but remote content is still retrieved.

Bajo

customization.md:80

Hardcoded URL

npx shadcn@latest apply --preset "https://ui.shadcn.com/init?base=radix&style=nova&theme=blue&..."

The command passes an official remote preset URL to apply, causing expected network retrieval before project changes.

Bajo

registry.md:229

Hardcoded URL

-> read https://raw.githubusercontent.com/{owner}/{repo}/{sha}/registry.json

The registry workflow retrieves GitHub files at a pinned commit. Network access is intentional, and SHA pinning improves integrity.

Factores de riesgo

🌐 Acceso a red (14)

cli.md:107 cli.md:174 cli.md:175 cli.md:178 cli.md:179 customization.md:80 mcp.md:92 mcp.md:94 registry.md:29 registry.md:31 registry.md:62 registry.md:64 registry.md:229 SKILL.md:263

📁 Acceso al sistema de archivos (7)

cli.md:175 cli.md:179 mcp.md:22 mcp.md:22 rules/styling.md:3 rules/styling.md:60 rules/styling.md:105

⚙️ Comandos externos (50)

Auditado por: codex Ver historial de auditorías →

Compartir y citar este informe

Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.

Abrir el informe versionado

Copiar enlace del informe

https://skillstore.io/skills/shadcn-shadcn/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Insignia Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/shadcn-shadcn/security.svg)](https://skillstore.io/skills/shadcn-shadcn?utm_source=security_passport_badge)

Insignia HTML

<a href="https://skillstore.io/skills/shadcn-shadcn?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/shadcn-shadcn/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Tarjeta para insertar

<iframe src="https://skillstore.io/embed/skills/shadcn-shadcn.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citas académicas (APA · BibTeX · CFF)

Cita APA

shadcn. (2026). shadcn security audit report (audit version 6) [Author version unspecified]. Skillstore. https://skillstore.io/skills/shadcn-shadcn/audits/6

Cita BibTeX

@techreport{shadcn-shadcn-shadcn-2026,
  author = {shadcn},
  title = {shadcn security audit report (audit version 6)},
  institution = {Skillstore},
  year = {2026},
  number = {6},
  url = {https://skillstore.io/skills/shadcn-shadcn/audits/6},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "shadcn security audit report (audit version 6)"
version: "unspecified"
type: report
authors:
  - name: "shadcn"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/shadcn-shadcn/audits/6"
identifiers:
  - type: other
    value: "skillstore:shadcn-shadcn:audit:6"
    description: "Skillstore immutable audit report identifier"

Comparar variantes

2 variantes instalables

Cada autor sigue siendo un skill instalable independiente. La variante recomendada se ordena según la evidencia de Skillstore.

Por qué esta variante es la primera

Mayor puntuación de Skillstore

Autor / fuente Puntuación de Skillstore Confianza de la evidencia Uso en Skillstore Actualizado

shadcn Recomendado Actual

shadcn-shadcn

Puntuación de Skillstore 73

Confianza de la evidencia Alto

Uso en Skillstore 11

Actualizado

2026-09-09

shadcn-ui

shadcn-ui-shadcn

Puntuación de Skillstore 72

Confianza de la evidencia Medio

Uso en Skillstore 2

Actualizado

2026-09-09

Puntuación de Skillstore

Por qué esta puntuación Confianza de la evidencia: Alto

Arquitectura

Mantenibilidad

Contenido

Comunidad

Cumplimiento de la especificación

Lo que puedes crear

Crear componentes conscientes del proyecto

Crea formularios, diálogos, dashboards y navegación que sigan la configuración shadcn del proyecto.

Actualizar una biblioteca de componentes de forma segura

Previsualiza cambios de componentes upstream, compara diffs y conserva ediciones locales durante las actualizaciones.

Inspeccionar elementos del registro antes de instalar

Revisa archivos, dependencias, imports y problemas de composición antes de agregar bloques de terceros.

Prueba estos prompts

Agregar un componente

Agrega un botón y una card de shadcn/ui a mi página React. Usa los alias de mi proyecto y explica cualquier comando de CLI antes de ejecutarlo.

Crear un formulario

Crea un formulario de configuración con controles de nombre, email y notificaciones. Usa FieldGroup, Field, estados de validación, colores semánticos y espaciado con gap.

Revisar un elemento del registro

Inspecciona este elemento de registro de terceros antes de la instalación. Muestra archivos esperados, dependencias, cambios de imports y problemas que necesitan aprobación.

Cambiar presets de forma segura

Cambia este proyecto al preset radix-nova conservando los cambios locales en componentes. Usa pasos de dry-run y diff antes de cualquier escritura.

Mejores prácticas

Ejecuta dry-run y diff antes de cualquier actualización de componente que pueda sobrescribir cambios locales.
Usa el contexto del proyecto para alias, framework, versión de Tailwind, base, estilo y biblioteca de iconos.
Inspecciona los archivos de registros de terceros después de agregarlos y corrige imports antes de continuar.

Evitar

No adivines un registro cuando el usuario pide un bloque no especificado.
No obtengas archivos de componentes sin procesar manualmente cuando la CLI puede inspeccionar elementos del registro.
No uses flags overwrite, force o reinstall sin aprobación explícita del usuario.