スキル pnpm

📦

pnpm

Name: pnpm
Author: antfu

v2026.6.22 コンテンツリビジョン r2 高リスク ⚙️ 外部コマンド📁 ファイルシステムへのアクセス🌐 ネットワークアクセス

信頼できるガイダンスでpnpmプロジェクトを管理

pnpmプロジェクトには、正確なコマンド、厳格な依存関係の取り扱い、安全な設定選択が必要です。このスキルは、インストール、ワークスペース、CI、パッチ、移行タスクに関する重点的なガイダンスを提供します。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

インストール前に停止して確認を求めてください。

計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "pnpm" from https://skillstore.io/skills/antfu-pnpm.md and its manifest at https://skillstore.io/api/skills/antfu-pnpm/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/antfu-pnpm.md 署名済み manifest GET /api/skills/antfu-pnpm/manifest 署名済み lockfile GET /api/skills/antfu-pnpm/lockfile

テストする

「pnpm」を使用しています。 Why does pnpm fail when npm installed this package tree successfully?

期待される結果:

このスキルはphantom dependencyの動作を説明し、不足している直接依存関係を特定し、推移的なパッケージに頼るのではなく宣言済み依存関係として追加することを推奨します。

「pnpm」を使用しています。 How should our repository cache pnpm installs in CI?

期待される結果:

このスキルは、安定したpnpmバージョン、frozen lockfiles、ロックファイルをキーにしたstore caching、変更されたワークスペース向けの個別検証を使うことを推奨します。

「pnpm」を使用しています。 We need to patch a dependency until an upstream fix is released.

期待される結果:

このスキルはpatchワークフローを概説し、理由を文書化するよう促し、依存関係をアップグレードするときにpatchを見直すことを提案します。

セキュリティ監査

高リスク

v5 • 2026/7/23 バージョン別レポートを開く

The audit found no prompt injection or data-exfiltration intent. Most static alerts are Markdown syntax, example paths, placeholders, or safe configuration guidance. Confirmed concerns include credential-file inspection, recursive permission changes, third-party registry use, blanket build approval, unpinned execution, and destructive cleanup.

スキャンされたファイル

3,152

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (4)

高

SKILL.md:12

NPM config file (may contain tokens)

**Configuration model (important):** pnpm settings now live in `pnpm-workspace.yaml` (and the global

The primary skill instruction tells agents to check .npmrc for authentication, although that file can contain live registry tokens. Reading it can expose credentials to model context or logs.

高

references/features-supply-chain-security.md:32

Blanket Dependency Build Approval

The guide lists blanket build approval without a nearby warning. This authorizes every pending dependency lifecycle script, allowing unreviewed package code to execute.

The documented command explicitly approves all pending builds. Dependency lifecycle scripts can execute arbitrary code with the installer account.

高

references/best-practices-migration.md:16

Unpinned Codemod Execution

The migration guide runs an unpinned codemod through pnpx. A compromised or malicious latest release could execute arbitrary code during migration.

The command names no package version or integrity value. pnpx may download and execute the registry-selected release.

中

references/best-practices-migration.md:297

Destructive Cleanup Without Confirmation

The rollback example recursively deletes dependencies, the lockfile, and workspace configuration. It provides no backup, path validation, or confirmation step before deletion.

The command directly names pnpm-workspace.yaml and uses recursive forced deletion. The surrounding rollback steps do not preserve or restore that configuration.

機能レビュー項目 (3)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

中

references/core-store.md:176

Shell command substitution

chmod -R u+w "$(pnpm store path)"

The command recursively changes permissions on a path resolved from pnpm configuration. A mistaken or malicious store path could modify permissions across unintended files.

中

references/core-store.md:175-177

Template literal with command substitution

# Fix store permissions (find the path with `pnpm store path`)

The surrounding Bash example recursively changes permissions on the dynamically resolved store path. It lacks path validation before applying chmod recursively.

低

references/best-practices-performance.md:155

Hardcoded URL

default: https://registry.npmmirror.com/

The performance guide recommends a third-party mirror as the default registry. This redirects all package metadata and downloads to infrastructure whose trust must be evaluated.

リスク要因

⚙️ 外部コマンド (14)

references/best-practices-ci.md:55 references/best-practices-ci.md:266 references/core-config.md:113-116 references/core-store.md:106-107 references/core-store.md:175-177 references/core-store.md:150 references/core-store.md:176 references/core-store.md:175-177 references/core-workspaces.md:145-148 references/features-catalogs.md:98-102 references/features-hooks.md:108-112 references/features-hooks.md:136-146 SKILL.md:12 SKILL.md:14

📁 ファイルシステムへのアクセス (25)

🌐 ネットワークアクセス (13)

references/best-practices-migration.md:235 references/best-practices-migration.md:236 references/best-practices-performance.md:155 references/best-practices-performance.md:160 references/best-practices-performance.md:161 references/core-config.md:103 references/core-config.md:111 references/core-config.md:112 references/core-config.md:115 references/features-aliases.md:157 references/features-global-virtual-store.md:41 references/features-patches.md:151 SKILL.md:7

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/antfu-pnpm/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/antfu-pnpm/security.svg)](https://skillstore.io/skills/antfu-pnpm?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/antfu-pnpm?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/antfu-pnpm/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/antfu-pnpm.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

antfu. (2026). pnpm security audit report (audit version 5) [Author version 2026.6.22]. Skillstore. https://skillstore.io/skills/antfu-pnpm/audits/5

BibTeX形式の引用

@techreport{antfu-antfu-pnpm-2026,
  author = {antfu},
  title = {pnpm security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/antfu-pnpm/audits/5},
  note = {Author version 2026.6.22}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "pnpm security audit report (audit version 5)"
version: "2026.6.22"
type: report
authors:
  - name: "antfu"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/antfu-pnpm/audits/5"
identifiers:
  - type: other
    value: "skillstore:antfu-pnpm:audit:5"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 高

アーキテクチャ

100

保守性

コンテンツ

コミュニティ

100

仕様準拠

作成できるもの

Monorepoをセットアップする

複数パッケージのリポジトリに対して、ワークスペースパッケージ、共有依存関係バージョン、フィルター、ロックファイルの動作を計画します。

CIインストールを改善する

より高速で信頼性の高いビルドのために、frozen lockfile設定、Corepackセットアップ、キャッシュキー、storeパスを選択します。

依存関係の問題を解決する

peer dependencyの警告、phantom dependencyの失敗、overrides、patches、移行の問題を診断します。

これらのプロンプトを試す

自分のプロジェクトを理解する

Review my pnpm project layout. Explain the workspace structure, important configuration files, and safe next steps before changing dependencies.

依存関係の解決を修正する

Help me diagnose this pnpm dependency or peer dependency issue. Explain likely causes, configuration options, and the safest fix.

CIワークフローを最適化する

Design a pnpm CI install strategy for this repository. Cover Corepack, frozen lockfiles, caching, workspace filters, and failure modes.

パッケージマネージャー移行を計画する

Create a pnpm migration plan from npm or Yarn. Include dependency cleanup, workspace conversion, lockfile changes, and validation steps.

ベストプラクティス

CIではfrozen lockfilesを使用し、依存関係の解決を再現可能に保ちます。
可能な場合は、pnpm固有のワークスペース設定にpnpm-workspace.yamlを優先して使用します。
将来のアップグレードを明確に保つため、overrides、package extensions、patchesを文書化します。

回避

推移的なパッケージを通じてのみ存在するphantom dependenciesに依存しないでください。
registry tokensやprivate .npmrcの値をプロンプトやログに貼り付けないでください。
明確なバージョンスコープと削除計画なしに、広範なoverridesやpatchesを使用しないでください。

よくある質問

このスキルは何のためのものですか？

AIコーディングツールがpnpmコマンド、設定、ワークスペース、CI、移行、依存関係メンテナンスについて推論するのを支援します。

pnpmコマンドを自動的に実行しますか？

いいえ。AIエージェントまたはユーザーがアクティブなプロジェクト内で適用できるガイダンスを提供します。

monoreposに役立ちますか？

はい。pnpm workspaces、filters、shared lockfiles、catalogs、workspace dependency protocolsを扱います。

npmまたはYarnからの移行に役立ちますか？

はい。移行手順、ロックファイルの変更、ワークスペース変換、一般的な互換性の問題を説明します。

.npmrc内のシークレットはどのように扱うべきですか？

token値は非公開にしてください。支援を求める際は、マスク済みの設定または環境変数名のみを共有してください。

どのAIツールで使用できますか？

レポートにはClaude、Codex、Claude Codeのサポートが記載されています。

開発者情報

作成者

antfu

ライセンス

MIT

作者バージョン

v2026.6.22

Skillstore リビジョン

リポジトリ

https://github.com/antfu/skills/tree/main/skills/pnpm/

参照

89edfdc710d0846129dcee6a929477b04f08052c

メンテナンスの新しさ

2026/7/24

利用状況

6 ダウンロード · 219 閲覧

ファイル構成

📄 GENERATION.md

📁 references/

📄 best-practices-ci.md

📄 best-practices-migration.md

📄 best-practices-performance.md

📄 core-cli.md

📄 core-config.md

📄 core-store.md

📄 core-workspaces.md

📄 features-aliases.md

📄 features-catalogs.md

📄 features-config-dependencies.md

📄 features-global-virtual-store.md

📄 features-hooks.md

📄 features-overrides.md

📄 features-patches.md

📄 features-peer-deps.md

📄 features-supply-chain-security.md

より安全なBash自動化を書く

作成者 wshobson

Bashスクリプトは、エラー、入力、クリーンアップを安全に処理していないため、本番環境で失敗することがよくあります。このスキルは、Claude、Codex、Claude Codeが明確な安全パターンを備えた防御的なシェルスクリプトを作成できるように導きます。

DevOps＆インフラ表示

pnpm

自分のエージェントでインストール

エージェントが読めるリソース

テストする

セキュリティ監査

確認済みのセキュリティ上の懸念 (4)

リスク要因

レポートリンクをコピー

Markdownバッジ

HTMLバッジ

埋め込みカード

APA形式の引用

BibTeX形式の引用

CITATION.cff

Skillstore スコア

作成できるもの

Monorepoをセットアップする

CIインストールを改善する

依存関係の問題を解決する

これらのプロンプトを試す

ベストプラクティス

回避

よくある質問

開発者情報

antfu のその他のスキル

vue-router-best-practices

vue-testing-best-practices

vue-best-practices

vue

vite

vitest

関連スキル

monorepo-management

senior-devops

cloud-devops

devops-orchestrator

deployment-pipeline-design

bash-defensive-patterns