スキル dependency-sync

📦

dependency-sync

Name: dependency-sync
Author: Consiliency

コンテンツリビジョン r1 高リスク ⚡ スクリプトを含む⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス🔑 環境変数

プロジェクトの依存関係を自動的に同期

マニフェストが更新されていないと、新しい import によってビルドが失敗することがよくあります。このスキルは追加された import を検出し、対応するパッケージのインストールまたは記録を支援します。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

インストール前に停止して確認を求めてください。

計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "dependency-sync" from https://skillstore.io/skills/consiliency-dependency-sync.md and its manifest at https://skillstore.io/api/skills/consiliency-dependency-sync/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/consiliency-dependency-sync.md 署名済み manifest GET /api/skills/consiliency-dependency-sync/manifest 署名済み lockfile GET /api/skills/consiliency-dependency-sync/lockfile

テストする

「dependency-sync」を使用しています。 FastAPI ルートと非同期データベーステストを追加しました。

期待される結果:

fastapi を本番用依存関係として検出しました。
pytest-asyncio を開発用依存関係として検出しました。
承認後に pyproject.toml を更新することを推奨しました。

「dependency-sync」を使用しています。 TypeScript 機能に React Query を追加しました。

期待される結果:

このスキルは import をスコープ付き npm パッケージにマッピングし、本番用として分類して、パッケージマニフェストの更新を準備します。

「dependency-sync」を使用しています。既に import が宣言されているファイルだけをリファクタリングしました。

期待される結果:

このスキルは、すべての import が既に存在し、マニフェスト更新は不要であると報告します。

セキュリティ監査

高リスク

v9 • 2026/7/13 バージョン別レポートを開く

Most static detections are Markdown syntax, built-in module lists, or mapping examples and are false positives. Eight findings are confirmed because the skill directs agents to run package-manager commands with inferred package names. Default automatic installation and commit settings create supply-chain and repository-integrity risks.

スキャンされたファイル

824

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (2)

高

SKILL.md:14-15 SKILL.md:24-29 SKILL.md:86-101 cookbook/python-imports.md:125-127

Automatic Installation of Inferred Packages

Automatic installation is enabled while confirmation is disabled. Inferred names can select malicious or mistaken registry packages and execute installation code before review.

The defaults and mandatory workflow directly require installation, while the Python fallback assumes unknown import names equal registry package names.

中

SKILL.md:17

Automatic Repository Commits Enabled

The default enables committing manifest changes without a required user review gate. This can place incorrect dependency changes into repository history.

The COMMIT_CHANGES setting is explicitly true, although the provided files do not contain the implementation that performs the commit.

機能レビュー項目 (8)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高

SKILL.md:90-102

Ruby/shell backtick execution

```bash

This block explicitly instructs the agent to execute package-manager commands for inferred packages. Automatic installation can fetch untrusted code and run installation hooks.

中

SKILL.md:71

Ruby/shell backtick execution

| `pyproject.toml` (with uv) | uv | `uv add <package>` |

The workflow selects this uv command for automatic execution with inferred package names. It can download and install unreviewed Python packages without confirmation.

中

SKILL.md:72

Ruby/shell backtick execution

| `pyproject.toml` (poetry) | poetry | `poetry add <package>` |

The workflow selects this Poetry command for automatic execution with inferred package names. It can resolve and install unreviewed Python packages without confirmation.

中

SKILL.md:73

Ruby/shell backtick execution

| `requirements.txt` | pip | `pip install <package>` |

The workflow selects pip install for inferred package names. Python package installation can run untrusted build code before the user reviews the dependency.

中

SKILL.md:74

Ruby/shell backtick execution

| `package.json` | npm/yarn/pnpm | `npm install <package>` |

The workflow selects npm install for inferred package names. Installation can run package lifecycle scripts and modify manifests without prior user confirmation.

中

SKILL.md:75

Ruby/shell backtick execution

| `Cargo.toml` | cargo | `cargo add <package>` |

The workflow selects cargo add for inferred crate names. This introduces an unreviewed dependency and changes the project manifest and lockfile.

中

SKILL.md:76

Ruby/shell backtick execution

| `go.mod` | go | `go get <package>` |

The workflow selects go get for inferred module names. This downloads unreviewed modules and changes go.mod and go.sum.

中

SKILL.md:77

Ruby/shell backtick execution

| `pubspec.yaml` | pub | `flutter pub add <package>` |

The workflow selects flutter pub add for inferred package names. This downloads an unreviewed dependency and changes the project manifest and lockfile.

リスク要因

⚡ スクリプトを含む (2)

cookbook/dependency-classification.md:101-102 cookbook/node-imports.md:11

⚙️ 外部コマンド (42)

🌐 ネットワークアクセス (1)

cookbook/node-imports.md:95

📁 ファイルシステムへのアクセス (2)

cookbook/python-imports.md:11 cookbook/python-imports.md:18

🔑 環境変数 (1)

cookbook/python-imports.md:32

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/consiliency-dependency-sync/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/consiliency-dependency-sync/security.svg)](https://skillstore.io/skills/consiliency-dependency-sync?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/consiliency-dependency-sync?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/consiliency-dependency-sync/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/consiliency-dependency-sync.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

Consiliency. (2026). dependency-sync security audit report (audit version 9) [Author version unspecified]. Skillstore. https://skillstore.io/skills/consiliency-dependency-sync/audits/9

BibTeX形式の引用

@techreport{consiliency-consiliency-dependency-sync-2026,
  author = {Consiliency},
  title = {dependency-sync security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/consiliency-dependency-sync/audits/9},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dependency-sync security audit report (audit version 9)"
version: "unspecified"
type: report
authors:
  - name: "Consiliency"
date-released: "2026-07-13"
url: "https://skillstore.io/skills/consiliency-dependency-sync/audits/9"
identifiers:
  - type: other
    value: "skillstore:consiliency-dependency-sync:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

Backend マニフェストを最新に保つ

API 作業後の新しい Python import を検出し、適切な依存関係グループで pyproject.toml または requirements.txt を更新します。

機能追加後に Frontend パッケージを更新

新しい React または TypeScript の import を npm パッケージ名にマッピングし、ツール用パッケージを devDependencies に配置します。

テスト依存関係を正しく追加

テスト専用の import を特定し、フレームワーク、fixture、型パッケージを開発用依存関係として分類します。

これらのプロンプトを試す

不足している import を同期

私が変更したファイルをレビューし、新しい import を特定して、正しい依存関係マニフェストを更新してください。パッケージをインストールする前に確認してください。

依存関係の種類を分類

各新規依存関係が本番用依存関係と開発用依存関係のどちらに属するか確認してください。変更を行う前に、その配置を説明してください。

複数言語の変更を監査

Python、Node.js、Go、Rust の変更をスキャンして新しい import を確認してください。各マニフェストに対応するパッケージマネージャーを使用してください。

インストール前に計画

import をパッケージにマッピングし、正確なコマンドを示し、サプライチェーンリスクを指摘し、承認を待つ dry-run 計画を作成してください。

ベストプラクティス

パッケージをインストールする前に dry-run モードで実行するか、承認を求めてください。
typosquatting や dependency confusion のリスクがないか、解決されたパッケージ名を確認してください。
変更後にテストを実行し、マニフェストと lockfile の差分を確認してください。

回避

信頼できないコード内の未レビューの import からパッケージを自動インストールしないでください。
import 名が常にレジストリ上のパッケージ名と一致すると想定しないでください。
人間が差分をレビューする前に、マニフェストや lockfile の変更をコミットしないでください。

よくある質問

このスキルは依存関係を自動的にインストールしますか？

不足している依存関係をインストールするように設計されていますが、機密性の高いリポジトリではインストール前に承認を必須にするべきです。

どのエコシステムに対応していますか？

一般的なマニフェストファイルを通じて、Python、Node.js、Rust、Go、Flutter のワークフローをカバーします。

本番用依存関係と開発用依存関係を分けられますか？

はい。ファイルパス、既知のパッケージパターン、cookbook ルールを使用して依存関係の種類を分類します。

パッケージの安全性を検証しますか？

名前とマニフェストを確認できますが、サードパーティパッケージのセキュリティレビューを置き換えるものではありません。

ライブラリ追加後にドキュメントを更新できますか？

はい。新しい依存関係が追加されたときに、ドキュメント監査ステップをトリガーできます。

実行後に何をレビューすべきですか？

解決されたパッケージ名、マニフェスト変更、lockfile 変更、テスト結果を確認してください。

開発者情報

作成者

Consiliency

ライセンス

MIT

Skillstore リビジョン

バージョンに関する注意

作者はバージョンを宣言していません。

リポジトリ

https://github.com/Consiliency/treesitter-chunker/tree/main/.ai-dev-kit/skills/dependency-sync

参照

635f69fb8d2f4e6330ba47a4e5a0fb239c04d110

メンテナンスの新しさ

2026/7/25

利用状況

8 ダウンロード · 195 閲覧

ファイル構成

📁 cookbook/

📄 dependency-classification.md

📄 node-imports.md

📄 python-imports.md

非開発者向けのコード可読性を評価

作成者 AbeJitsu

チームでは、マネージャー、ステークホルダー、新しいコントリビューターが理解できるコードが必要になることがよくあります。このスキルは、命名、コメント、専門用語、ドキュメントをチェックし、レビュー担当者が明確な可読性スコアを得られるようにします。

コーディング＆開発表示

dependency-sync

自分のエージェントでインストール

エージェントが読めるリソース

テストする

セキュリティ監査

確認済みのセキュリティ上の懸念 (2)

リスク要因

レポートリンクをコピー

Markdownバッジ

HTMLバッジ

埋め込みカード

APA形式の引用

BibTeX形式の引用

CITATION.cff

Skillstore スコア

作成できるもの

Backend マニフェストを最新に保つ

機能追加後に Frontend パッケージを更新

テスト依存関係を正しく追加

これらのプロンプトを試す

ベストプラクティス

回避

よくある質問

開発者情報

Consiliency のその他のスキル

c4-modeling

docs-retrieval

standards-extraction

toon-format

multi-source-research

test-scaffolding

関連スキル

building-agents

building-commands

code-reviewer

enact-json-formatter

code-review

code-analysis