dependency-auditor
プロジェクトの依存関係の脆弱性を監査する
古くて脆弱な依存関係は、アプリケーションに深刻なセキュリティリスクをもたらします。このスキルは、Node.js、Python、Go、Ruby、Java、.NETのエコシステム全体で、依存関係のセキュリティ問題を特定、評価、修正するための支援を行います。
スキルZIPをダウンロード
Claudeでアップロード
設定 → 機能 → スキル → スキルをアップロードへ移動
オンにして利用開始
テストする
「dependency-auditor」を使用しています。 package.jsonを使用してNode.jsプロジェクトでdependency-auditorを実行してください
期待される結果:
- 🔴 Critical: 2件の脆弱性が発見されました
- • lodash < 4.17.21 - プロトタイプ汚染によるリモートコード実行（CVE-2024-1234）
- • sequelize 6.3.5 - 生SQL関数におけるSQLインジェクション（CVE-2024-5678）
- 🟠 High: 3件の脆弱性が発見されました
- • minimist < 1.2.6 - プロトタイプ汚染（mocha経由の推移的依存関係）
- • marked < 4.0.16 - クロスサイトスクリプティングの脆弱性
- • express-fileupload < 1.4.0 - パストラバーサルの脆弱性
- 推奨アクション: lodashを4.17.21に、sequelizeを6.6.5に 즉시 업데이트하세요.
「dependency-auditor」を使用しています。 CI/CDで自動化された依存関係スキャン設定を教えてください
期待される結果:
- GitHub Actionsワークフローにこれを追加してください:
- • プッシュごとにnpm audit --audit-level=moderateを実行する
- • 週次の依存関係更新にDependabotを構成する
- • npm audit --audit-level=highのpre-commitフックを追加する
- • 継続的なモニタリングにsnyk monitorを使用する
- これらのツールは、脆弱性が開示されるとすぐに検出します。
セキュリティ監査
安全This is a pure prompt-based documentation skill containing only instructions and guidance for dependency security auditing. All static findings are false positives: the skill documents CVEs that exist in third-party dependencies (not the skill itself), and includes legitimate command examples (npm audit, pip-audit) as documentation. No executable code, network calls, file system access, or command execution capabilities exist in this skill. The scanner flagged documentation patterns (attack vector descriptions, remediation commands) out of context.
リスク要因
🌐 ネットワークアクセス (14)
⚙️ 外部コマンド (58)
品質スコア
作れるもの
自動化された脆弱性トリアージ
優先順位を付けた修正計画を含む包括的な依存関係監査レポートを生成することで、セキュリティレビューを効率化します。
CI/CDセキュリティ統合
自動スキャンツールの構成に関するガイダンスとともに、デリバリーパイプラインに依存関係セキュリティチェックを追加します。
プロアクティブな依存関係管理
脆弱な依存関係を特定して、本番環境に到達する前に実行可能なアップグレードパスで修正します。
これらのプロンプトを試す
@dependency-auditorを使用して、プロジェクトを既知の脆弱性についてスキャンしてください。package.json（またはrequirements.txt/go.mod）を確認し、CVEを特定してください。
@dependency-auditor --severity critical。重大な脆弱性のみを、 즉시 적용할 수 있는修正手順とともに表示してください。
@dependency-auditor --check-licenses。すべての依存関係を確認し、コンプライアンス問題を引き起こす可能性のあるライセンスをフラグ付けしてください。
@dependency-auditor --supply-chain。疑わしいパッケージ、タイポスクワット攻撃を確認し、メンテナーの信頼性を検証してください。
ベストプラクティス
- 定期的に（少なくとも週に1回）依存関係監査を実行し、新しいパッケージを追加した後にも実行する
- 重大および高 중요度の脆弱性は24〜72時間以内に修正を優先する
- 本番環境では正確なバージョン（^や~を使用しない）を使用し、ロックファイルをバージョン管理にコミットする
回避
- 低重要度の脆弱性を無視する - 権限昇格のために連鎖される可能性がある
- breaking changesを確認せずにnpm audit fixを盲目的に実行する
- メンテナンス状況、人気、セキュリティ履歴を確認せずに依存関係を追加する