Habilidades npm-git-install
📦
npm-git-install
Revisión del contenido r1 Riesgo alto ⚙️ Comandos externos🌐 Acceso a red📁 Acceso al sistema de archivos🔑 Variables de entorno
Instalar paquetes npm desde repositorios Git
Los equipos a menudo necesitan paquetes de ramas, forks o repositorios privados de GitHub antes de que lleguen a npm. Esta skill explica los formatos de URL Git de npm, las opciones de autenticación, las comprobaciones de instalación y las soluciones comunes.
Compatible con: Claude Codex Code(CC)
Detente y solicita confirmación antes de instalar.
Revisa el plan y obtén el consentimiento explícito del usuario antes de modificar archivos.
Instalar con mi Agente
Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.
Solicitud de agente
Review the Skillstore skill "npm-git-install" from https://skillstore.io/skills/supercent-io-npm-git-install.md and its manifest at https://skillstore.io/api/skills/supercent-io-npm-git-install/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.
Recursos legibles por agentes
Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.
Pruébalo
Usando "npm-git-install". Necesito instalar un paquete desde una rama de GitHub.
Resultado esperado:
El asistente pide el repositorio y la rama, recomienda fijar una etiqueta o commit para producción y proporciona un comando de instalación conciso.
Usando "npm-git-install". Mi paquete privado de GitHub falla durante npm install.
Resultado esperado:
El asistente separa las comprobaciones de autenticación de las comprobaciones de compilación del paquete y luego sugiere pasos con SSH, token y registro detallado.
Usando "npm-git-install". No se encuentra un comando de paquete Git global después de la instalación.
Resultado esperado:
El asistente comprueba el prefijo global de npm, la entrada bin del paquete, el PATH del shell y la ubicación de instalación antes de cambiar permisos del sistema.
Auditoría de seguridad
Riesgo altov6 • 9/7/2026 Abrir el informe versionado
This documentation-focused skill is not malicious, and many backtick detections are Markdown false positives. Remaining risks include GitHub package installs, lifecycle scripts, token authentication, .npmrc edits, global binary linking, and privileged troubleshooting commands.
2
Archivos escaneados
388
Líneas analizadas
31
Elementos de revisión
0
Falsos positivos ignorados
Preocupaciones de seguridad confirmadas (4)
Alto
NPM config file (may contain tokens)
### .npmrc Configuration
The skill includes .npmrc token configuration for GitHub access. .npmrc can contain package registry credentials, so this guidance is security-sensitive.
Alto
NPM config file (may contain tokens)
# ~/.npmrc
The skill includes .npmrc token configuration for GitHub access. .npmrc can contain package registry credentials, so this guidance is security-sensitive.
Alto
Unreviewed GitHub Package Lifecycle Execution
The skill teaches npm installs from GitHub and explains that npm runs prepare scripts and registers global binaries. Installing unreviewed Git repositories can execute package code during installation.
The document explicitly combines GitHub install commands with npm prepare-script and global binary behavior. This is a clear supply-chain execution risk even though it is presented as legitimate package management guidance.
Alto
Plaintext Git Credential Storage Guidance
The troubleshooting section recommends git credential.helper store for cached credentials. That helper can save credentials unencrypted on disk, creating a credential exposure risk.
The exact git credential.helper store command is present under credential caching. This is a known insecure storage option compared with OS keychain helpers.
Elementos de revisión de capacidades (31)
Estas son capacidades locales reales que pueden esperarse para esta habilidad, por lo que requieren revisión, pero no se cuentan como comportamiento malicioso confirmado.
Alto
sudo privilege escalation
sudo chown -R $(whoami) /usr/local/lib/node_modules
The command uses sudo to recursively change ownership under /usr/local/lib/node_modules. If followed without review, it changes system-owned package files and can weaken local integrity.
Alto
sudo privilege escalation
sudo apt-get install git
The command installs system packages with sudo apt-get. This is a common setup step, but it grants elevated privileges and should require explicit user confirmation.
Alto
Hardcoded URL
npm install git+https://<token>@github.com/owner/private-repo.git
The install URL includes a GitHub token placeholder, which can leak through shell history, process listings, npm logs, or copied package metadata. The context is legitimate private repo access but the pattern is sensitive.
Alto
Hardcoded URL
npm install git+https://${GITHUB_TOKEN}@github.com/owner/private-repo.git
The install URL includes a GitHub token placeholder, which can leak through shell history, process listings, npm logs, or copied package metadata. The context is legitimate private repo access but the pattern is sensitive.
Alto
Hidden file in home directory
# ~/.npmrc
The skill directs configuration in ~/.npmrc, a hidden file that commonly stores package registry credentials. Mishandling this file can expose tokens.
Alto
Hidden file in home directory
echo 'export PATH=~/.npm-global/bin:$PATH' >> ~/.bashrc
The guidance modifies or sources ~/.bashrc, a persistent shell startup file. Changing startup files can affect future shell behavior and should be reviewed.
Alto
Hidden file in home directory
source ~/.bashrc
The guidance modifies or sources ~/.bashrc, a persistent shell startup file. Changing startup files can affect future shell behavior and should be reviewed.
Alto
Hidden file access
# ~/.npmrc
The .npmrc path is security-sensitive because it may contain registry or GitHub tokens. The nearby example configures token-based authentication.
Alto
Symlink creation
ln -s ../lib/node_modules/repo/bin/cli.js /usr/local/bin/repo
The example creates a symlink into /usr/local/bin, which can affect global command resolution. Although illustrative, this is a security-sensitive filesystem operation.
Alto
Git platform tokens
export GITHUB_TOKEN=ghp_xxxxxxxxxxxx
The line handles GITHUB_TOKEN or passes it into npm/GitHub authentication. These values are secrets and can leak through logs, shell history, or configuration files if mishandled.
Alto
Git platform tokens
npm install git+https://${GITHUB_TOKEN}@github.com/owner/private-repo.git
The line handles GITHUB_TOKEN or passes it into npm/GitHub authentication. These values are secrets and can leak through logs, shell history, or configuration files if mishandled.
Alto
Git platform tokens
//github.com/:_authToken=${GITHUB_TOKEN}
The line handles GITHUB_TOKEN or passes it into npm/GitHub authentication. These values are secrets and can leak through logs, shell history, or configuration files if mishandled.
Medio
Shell command substitution
sudo chown -R $(whoami) /usr/local/lib/node_modules
The example uses $(whoami) inside a sudo chown command, so a shell expansion is performed before changing ownership. It is troubleshooting guidance, but it is still security-sensitive command execution.
Medio
Hardcoded URL
npm install -g git+https://github.com/JEO-tech-ai/supercode.git#main
The skill gives a concrete GitHub repository install or dependency example that fetches code from a moving branch. npm Git installs can execute package lifecycle scripts, so repository trust matters.
Medio
Hardcoded URL
npm install -g git+https://github.com/JEO-tech-ai/supercode.git#main --verbose
The skill gives a concrete GitHub repository install or dependency example that fetches code from a moving branch. npm Git installs can execute package lifecycle scripts, so repository trust matters.
Medio
Hardcoded URL
"supercode": "git+https://github.com/JEO-tech-ai/supercode.git#main",
The skill gives a concrete GitHub repository install or dependency example that fetches code from a moving branch. npm Git installs can execute package lifecycle scripts, so repository trust matters.
Medio
Hardcoded URL
npm install -g git+https://github.com/JEO-tech-ai/supercode.git#main
The skill gives a concrete GitHub repository install or dependency example that fetches code from a moving branch. npm Git installs can execute package lifecycle scripts, so repository trust matters.
Medio
SSH protocol URL
npm install -g git+ssh://git@github.com:JEO-tech-ai/supercode.git#main
The SSH Git URL is a real authenticated network install path for private or protected repositories. It is expected for the skill, but it depends on local SSH credentials and repository trust.
Medio
SSH protocol URL
"my-package": "git+ssh://git@github.com:owner/repo.git#v1.0.0",
The SSH Git URL is a real authenticated network install path for private or protected repositories. It is expected for the skill, but it depends on local SSH credentials and repository trust.
Medio
SSH protocol URL
npm install git+ssh://git@github.com:owner/private-repo.git
The SSH Git URL is a real authenticated network install path for private or protected repositories. It is expected for the skill, but it depends on local SSH credentials and repository trust.
Medio
Hidden file access
echo 'export PATH=~/.npm-global/bin:$PATH' >> ~/.bashrc
The example writes to or sources ~/.bashrc, which changes user shell startup behavior. It is a common setup step but still needs user review.
Medio
Hidden file access
source ~/.bashrc
The example writes to or sources ~/.bashrc, which changes user shell startup behavior. It is a common setup step but still needs user review.
Bajo
Hardcoded URL
npm install git+https://github.com/<owner>/<repo>.git#<branch|tag|commit>
The line documents a GitHub network operation used by the skill. This is expected functionality, but it still requires external network access and trust in the referenced repository.
Bajo
Hardcoded URL
npm install git+https://github.com/owner/repo.git#v1.0.0
The line documents a GitHub network operation used by the skill. This is expected functionality, but it still requires external network access and trust in the referenced repository.
Bajo
Hardcoded URL
npm install git+https://github.com/owner/repo.git#abc1234
The line documents a GitHub network operation used by the skill. This is expected functionality, but it still requires external network access and trust in the referenced repository.
Bajo
Hardcoded URL
npm install git+https://github.com/owner/repo.git
The line documents a GitHub network operation used by the skill. This is expected functionality, but it still requires external network access and trust in the referenced repository.
Bajo
Hardcoded URL
git clone https://github.com/owner/repo.git /tmp/npm-xxx
The line documents a GitHub network operation used by the skill. This is expected functionality, but it still requires external network access and trust in the referenced repository.
Bajo
Hardcoded URL
npm install git+https://... --verbose 2>&1 | tee npm-install.log
The line documents a GitHub network operation used by the skill. This is expected functionality, but it still requires external network access and trust in the referenced repository.
Bajo
Hardcoded URL
npm install -g git+https://...
The line documents a GitHub network operation used by the skill. This is expected functionality, but it still requires external network access and trust in the referenced repository.
Bajo
Hardcoded URL
npm install -g git+https://github.com/owner/repo.git#main
The line documents a GitHub network operation used by the skill. This is expected functionality, but it still requires external network access and trust in the referenced repository.
Bajo
Hardcoded URL
git ls-remote https://github.com/owner/repo.git HEAD
The line documents a GitHub network operation used by the skill. This is expected functionality, but it still requires external network access and trust in the referenced repository.
Factores de riesgo
⚙️ Comandos externos (50)
SKILL.md:28-30 SKILL.md:30-34 SKILL.md:34-46 SKILL.md:46-50 SKILL.md:50-52 SKILL.md:52-56 SKILL.md:56-58 SKILL.md:58-66 SKILL.md:66-78 SKILL.md:78-82 SKILL.md:82-91 SKILL.md:91-97 SKILL.md:97-110 SKILL.md:110-116 SKILL.md:116 SKILL.md:117 SKILL.md:118 SKILL.md:126-134 SKILL.md:134-138 SKILL.md:138-147 SKILL.md:147-155 SKILL.md:155-165 SKILL.md:165-169 SKILL.md:169-179 SKILL.md:179-183 SKILL.md:183-186 SKILL.md:186-194 SKILL.md:194-203 SKILL.md:203-207 SKILL.md:207-216 SKILL.md:216-220 SKILL.md:220-228 SKILL.md:228-232 SKILL.md:232-238 SKILL.md:238-242 SKILL.md:242-249 SKILL.md:249-257 SKILL.md:257-264 SKILL.md:264-268 SKILL.md:268-274 SKILL.md:274-278 SKILL.md:278-280 SKILL.md:280-288 SKILL.md:288-294 SKILL.md:294-298 SKILL.md:298-317 SKILL.md:317-325 SKILL.md:325-334 SKILL.md:334-377 SKILL.md:377
🌐 Acceso a red (23)
📁 Acceso al sistema de archivos (20)
🔑 Variables de entorno (3)
Auditado por: codex Ver historial de auditorías →
Compartir y citar este informe
Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.
Copiar enlace del informe
https://skillstore.io/skills/supercent-io-npm-git-install/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportInsignia Markdown
[](https://skillstore.io/skills/supercent-io-npm-git-install?utm_source=security_passport_badge)Insignia HTML
<a href="https://skillstore.io/skills/supercent-io-npm-git-install?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/supercent-io-npm-git-install/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Tarjeta para insertar
<iframe src="https://skillstore.io/embed/skills/supercent-io-npm-git-install.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Citas académicas (APA · BibTeX · CFF)
Cita APA
supercent-io. (2026). npm-git-install security audit report (audit version 6) [Author version unspecified]. Skillstore. https://skillstore.io/skills/supercent-io-npm-git-install/audits/6Cita BibTeX
@techreport{supercent-io-supercent-io-npm-git-install-2026,
author = {supercent-io},
title = {npm-git-install security audit report (audit version 6)},
institution = {Skillstore},
year = {2026},
number = {6},
url = {https://skillstore.io/skills/supercent-io-npm-git-install/audits/6},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "npm-git-install security audit report (audit version 6)"
version: "unspecified"
type: report
authors:
- name: "supercent-io"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/supercent-io-npm-git-install/audits/6"
identifiers:
- type: other
value: "skillstore:supercent-io-npm-git-install:audit:6"
description: "Skillstore immutable audit report identifier"
Puntuación de Skillstore
Por qué esta puntuación Confianza de la evidencia: Medio 55
Arquitectura
85
Mantenibilidad
87
Contenido
69
Comunidad
83
Cumplimiento de la especificación
Lo que puedes crear
Instalar una versión de paquete no publicada
Usa una referencia de rama, etiqueta o commit cuando una actualización de paquete aún no se ha publicado en npm.
Usar un paquete privado de GitHub
Configura autenticación basada en SSH o tokens para una dependencia de repositorio interno.
Solucionar problemas de instalaciones con URL Git
Comprueba rutas de instalación, fallos de scripts prepare, disponibilidad de Git, problemas de caché y binarios globales.
Prueba estos prompts
Instalar desde GitHub
Ayúdame a instalar un paquete npm desde un repositorio de GitHub. Pide el propietario, el repositorio y la rama o etiqueta antes de dar comandos.
Fijar una dependencia
Revisa mi dependencia Git de npm y sugiere un flujo de trabajo con etiqueta o commit fijado que mantenga las instalaciones reproducibles.
Configurar acceso privado
Guíame para instalar un paquete npm desde un repositorio privado de GitHub usando acceso basado en SSH o tokens.
Diagnosticar fallos de instalación
Ayúdame a diagnosticar un fallo de instalación Git de npm. Incluye comprobaciones para Git, autenticación, scripts prepare, caché y rutas globales.
Mejores prácticas
- Fija las dependencias de producción a una etiqueta o commit en lugar de una rama cambiante.
- Revisa la confianza del repositorio, los scripts del paquete y los cambios del lockfile antes de instalar desde GitHub.
- Usa credenciales con privilegios mínimos y mantén los tokens fuera del historial de comandos, registros y archivos de paquetes.
Evitar
- No instales desde repositorios desconocidos con permisos globales.
- No coloques tokens de acceso personal directamente en las URL de dependencias.
- No uses sudo ni cambios recursivos de propiedad antes de comprobar opciones más seguras para el prefijo de npm.
Preguntas frecuentes
¿Puede esto instalar paquetes que no están publicados en npm?
Sí. npm puede instalar directamente desde repositorios de GitHub cuando el paquete tiene una definición de paquete válida.
¿Debería usar un nombre de rama en producción?
Usa una etiqueta o commit para producción. Las ramas pueden moverse y hacer que las compilaciones sean difíciles de reproducir.
¿Esta skill se autentica en repositorios privados por mí?
No. Explica las opciones, pero los usuarios deben gestionar las claves SSH, los tokens y los permisos por su cuenta.
¿Las instalaciones con URL Git pueden ejecutar scripts de paquete?
Sí. npm puede ejecutar scripts de ciclo de vida como prepare, así que revisa el repositorio antes de la instalación.
¿Se requiere instalación global?
No. Usa dependencias locales cuando sea posible y usa instalaciones globales solo para herramientas de línea de comandos confiables.
¿Qué herramientas pueden usar esta skill?
El informe enumera compatibilidad con Claude, Codex y Claude Code.
Detalles del desarrollador
Autor
supercent-ioLicencia
MIT
Revisión de Skillstore
r1
Aviso de versión
El autor no declaró una versión.
Repositorio
https://github.com/supercent-io/skills-template/tree/main/.agent-skills/npm-git-install/Ref.
3e4b6c31a74a3bd1a291c98cf585d720cb9fbc88
Actualidad del mantenimiento
20/7/2026
Uso
6 descargas · 125 vistas
Estructura de archivos
📄 SKILL.md