スキル dependency-security
📦

dependency-security

v1.0 コンテンツリビジョン r1 中リスク ⚙️ 外部コマンド🌐 ネットワークアクセス

依存関係のセキュリティを監査し、SBOMを生成する

依存関係の更新により、脆弱または信頼できないパッケージが導入される可能性があります。このスキルは、監査、より安全な更新、SBOM作成、CIチェックをガイドします。

対応: Claude Codex Code(CC)
📊 70 十分

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト
Review the Skillstore skill "dependency-security" from https://skillstore.io/skills/doyajin174-dependency-security.md and its manifest at https://skillstore.io/api/skills/doyajin174-dependency-security/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/doyajin174-dependency-security.md 署名済み manifest GET /api/skills/doyajin174-dependency-security/manifest 署名済み lockfile GET /api/skills/doyajin174-dependency-security/lockfile

テストする

「dependency-security」を使用しています。 重大度の高いnpm audit検出事項と古い依存関係があるプロジェクトをレビューする。

期待される結果:

  • 重大および高リスクの脆弱性を、即時修復の対象として優先順位付けしました。
  • patch、minor、majorの更新を、より安全にレビューできるグループに分けました。
  • 依存関係の変更をコミットする前に、テストとlockfileチェックを推奨しました。

「dependency-security」を使用しています。 GitHub Actionsワークフローに依存関係チェックを追加する。

期待される結果:

  • npm ciでインストールし、監査ゲートを実行するCI計画。
  • アーティファクト保持に関するガイダンスを含むSBOM生成手順。
  • コマンド承認とバージョン固定されたセキュリティツールに関する注意事項。

「dependency-security」を使用しています。 新しいnpmパッケージを使用すべきか評価する。

期待される結果:

  • メンテナンス、ライセンス、脆弱性ステータスを対象とするパッケージ信頼性チェックリスト。
  • 依存関係を受け入れる、延期する、または置き換えるための判断ガイダンス。

セキュリティ監査

中リスク
v8 • 2026/7/5 バージョン別レポートを開く

Most static findings are false positives from Markdown fences, documentation links, and .npmrc hardening examples. I found no prompt injection, credential collection, or exfiltration intent, but the skill does recommend unpinned npx execution for several tools, which creates supply-chain risk.

1
スキャンされたファイル
314
解析済み行数
0
レビュー項目
0
誤検知を無視

確認済みのセキュリティ上の懸念 (1)

中
SKILL.md:75-83SKILL.md:110-115SKILL.md:177-185SKILL.md:207-212SKILL.md:236-244SKILL.md:279-283
Unpinned npx Tool Execution Guidance
The skill recommends several npx commands without version pins, including npm-check-updates, CycloneDX, npm-check, and license-checker. When executed, npx may download and run registry package code, which adds supply-chain risk to a security workflow.
The cited lines directly instruct users to run unversioned npx tools. This is a realistic supply-chain risk, although the packages named are common security tools and no malicious intent is evident.

リスク要因

⚙️ 外部コマンド (37)
SKILL.md:34-46 SKILL.md:46-50 SKILL.md:50-56 SKILL.md:56-60 SKILL.md:60-69 SKILL.md:69-75 SKILL.md:75-84 SKILL.md:84-88 SKILL.md:88-104 SKILL.md:104-110 SKILL.md:110-116 SKILL.md:116-120 SKILL.md:120-133 SKILL.md:133-137 SKILL.md:137-147 SKILL.md:147-153 SKILL.md:153-159 SKILL.md:159-163 SKILL.md:163-173 SKILL.md:173-177 SKILL.md:177-186 SKILL.md:186-192 SKILL.md:192-203 SKILL.md:203-207 SKILL.md:207-216 SKILL.md:216-222 SKILL.md:222-232 SKILL.md:232-236 SKILL.md:236-247 SKILL.md:247-251 SKILL.md:251-273 SKILL.md:273-279 SKILL.md:279-280 SKILL.md:280-282 SKILL.md:282-283 SKILL.md:90 SKILL.md:88-104
🌐 ネットワークアクセス (5)
SKILL.md:172 SKILL.md:310 SKILL.md:311 SKILL.md:312 SKILL.md:313
監査者: codex 監査履歴を表示 →
このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く
セキュリティ評価

レポートリンクをコピー

https://skillstore.io/skills/doyajin174-dependency-security/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/doyajin174-dependency-security/security.svg)](https://skillstore.io/skills/doyajin174-dependency-security?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/doyajin174-dependency-security?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/doyajin174-dependency-security/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/doyajin174-dependency-security.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
学術引用 (APA · BibTeX · CFF)

APA形式の引用

Doyajin174. (2026). dependency-security security audit report (audit version 8) [Author version 1.0]. Skillstore. https://skillstore.io/skills/doyajin174-dependency-security/audits/8

BibTeX形式の引用

@techreport{doyajin174-doyajin174-dependency-security-2026, author = {Doyajin174}, title = {dependency-security security audit report (audit version 8)}, institution = {Skillstore}, year = {2026}, number = {8}, url = {https://skillstore.io/skills/doyajin174-dependency-security/audits/8}, note = {Author version 1.0} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "dependency-security security audit report (audit version 8)" version: "1.0" type: report authors: - name: "Doyajin174" date-released: "2026-07-05" url: "https://skillstore.io/skills/doyajin174-dependency-security/audits/8" identifiers: - type: other value: "skillstore:doyajin174-dependency-security:audit:8" description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由 証拠の信頼度: 高
55
アーキテクチャ
85
保守性
87
コンテンツ
70
コミュニティ
83
仕様準拠

作成できるもの

新しいパッケージをレビューする

プロジェクトに追加する前に、パッケージの評判、メンテナンス状況、ライセンス適合性、監査結果を確認します。

セキュリティレビューを準備する

監査チェックリストを作成し、依存関係を更新し、レビュー証跡用のSBOMを生成します。

CI依存関係ゲートを追加する

npm auditを実行し、lockfileを保持し、SBOMアーティファクトを公開するパイプライン手順を追加します。

これらのプロンプトを試す

依存関係をチェックする 
このnpmプロジェクトの依存関係セキュリティをレビューしてください。コマンドを実行する前に、監査リスク、古くなったパッケージ、安全な次の手順を要約してください。
新しいパッケージを評価する 
このnpmパッケージを追加すべきか評価してください。メンテナンス状況、ダウンロード数、ライセンス互換性、既知の脆弱性、より安全な代替案を確認してください。
SBOMワークフローを作成する 
このリポジトリ向けのSBOM生成ワークフローを設計してください。ツールの選定、出力形式、保存場所、CIアーティファクトの扱いを含めてください。
CI依存関係制御を強化する 
監査しきい値、lockfileの強制、更新頻度、SBOM生成、手動承認ゲートを含むCI依存関係セキュリティ計画を作成してください。

ベストプラクティス

  • 自動依存関係修正を適用する前に、監査出力をレビューします。
  • lockfileをコミットし、CIでは決定論的インストールを使用します。
  • 外部パッケージコマンドを実行する際は、セキュリティツールのバージョンを固定します。

回避

  • テストやchangelogレビューなしで、強制的な依存関係修正を実行すること。
  • 自動化されたセキュリティパイプラインで、固定されていないnpxツールを使用すること。
  • 現在ブロック要因ではないという理由で、中程度の脆弱性を無視すること。

よくある質問

このスキルはセキュリティツールを自動的に実行しますか？
ワークフローとコマンド例を提供します。シェルコマンドの実行前にはユーザー承認が必要です。
どのエコシステムを最もよくサポートしていますか？
npmとJavaScriptプロジェクトに最も適しています。他のエコシステムでは、異なるコマンドやツールが必要になる場合があります。
SBOMを生成できますか？
一般的なnpm互換ツールを使用して、CycloneDXまたはSPDX SBOMファイルを生成する方法を説明します。
脆弱性スキャナーの代替になりますか？
いいえ。スキャナーの使用方法とレビュー手順を整理しますが、結果は外部ツールとデータベースから得られます。
チームはaudit fixコマンドをどのように扱うべきですか？
ブランチで実行し、変更を確認し、テストを実行し、明確な理由がない限り強制修正は避けてください。
これはClaude、Codex、Claude Codeで使用できますか？
はい。このコンテンツは、リポジトリレビュー向けのClaude、Codex、Claude Codeワークフローと互換性があります。

開発者情報

作成者

Doyajin174

ライセンス

MIT

作者バージョン

v1.0

Skillstore リビジョン

r1

バージョンに関する注意

作者が宣言したバージョンは有効な SemVer ではありません。

リポジトリ

https://github.com/Doyajin174/myskills/tree/main/.public/skills/dependency-security

参照

c579efd02184f1128d6741d16e6c8d951d7d4208

メンテナンスの新しさ

2026/7/27

利用状況

4 ダウンロード · 224 閲覧

ファイル構成

📄 SKILL.md

Doyajin174 のその他のスキル

すべて表示

関連スキル

すべて表示
📦

vulnerability-scanner

75

OWASP ガイダンスに基づく脆弱性リスクのレビュー

作成者 sickn33

セキュリティレビューでは、攻撃経路やビジネスリスクなしに検出事項だけが列挙されると、文脈が見落とされがちです。このスキルは、OWASP ガイダンス、ローカルチェック、優先順位付けプロンプトを組み合わせ、実行可能なセキュリティ作業を支援します。

セキュリティ＆コンプライアンス 表示
📦

Security Researcher

70

構造化チェックリストでセキュリティリスクを監査する

作成者 ClementWalter

チームが場当たり的な質問に頼ると、セキュリティレビューで重要なコントロールを見落とす可能性があります。このスキルは、Claude、Codex、Claude Codeが、アプリケーション、インフラストラクチャ、サプライチェーン、暗号技術、スマートコントラクト、ZK領域にわたる構造化監査を進めるのを支援します。

セキュリティ＆コンプライアンス 表示