スキル shadcn
📦
shadcn
コンテンツリビジョン r2 安全 🌐 ネットワークアクセス📁 ファイルシステムへのアクセス⚙️ 外部コマンド
shadcn/ui インターフェイスをより速く構築
shadcn/ui インターフェイスの構築には、現在のプロジェクトコンテキストと厳格なコンポーネントパターンが必要です。このスキルは、CLI ワークフローと UI ルールを通じて Claude、Codex、Claude Code をガイドします。
対応: Claude Codex Code(CC)
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "shadcn" from https://skillstore.io/skills/shadcn-shadcn.md and its manifest at https://skillstore.io/api/skills/shadcn-shadcn/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「shadcn」を使用しています。 avatar、fields、Save、Cancel buttons を含む profile edit dialog を作成してください。
期待される結果:
DialogTitle、AvatarFallback、適切な button icons、プロジェクトの icon imports、アクセシブルなフォーム構成を使用した dialog アプローチを提供します。
「shadcn」を使用しています。 ローカル変更を保持したまま Button component を更新してください。
期待される結果:
dry-run と diff review を推奨し、影響を受けるファイルを特定し、ローカル編集を保持し、overwrite 手順の前に確認を求めます。
「shadcn」を使用しています。 community registry から dashboard stat card block を追加してください。
期待される結果:
registry name を確認し、ファイルをプレビューし、imports と dependencies をレビューしてから、shadcn の構成ルールとスタイリングルールを適用します。
セキュリティ監査
安全v6 • 2026/7/23 バージョン別レポートを開く
Most detections are false positives from Markdown, TSX templates, accessibility attributes, documentation links, and relative references. The skill legitimately runs an unpinned shadcn CLI, retrieves remote registry content, and can modify project files. No prompt injection, credential theft, covert persistence, or data-exfiltration intent was found.
13
スキャンされたファイル
2,460
解析済み行数
30
レビュー項目
0
誤検知を無視
機能レビュー項目 (30)
これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。
高
Ruby/shell backtick execution
!`npx shadcn@latest info --json`
The injection directive automatically executes npx shadcn@latest info --json, downloading mutable code and reading project metadata without a separate prompt.
中
Ruby/shell backtick execution
> **IMPORTANT:** Run all CLI commands using the project's package runner: `npx shadcn@latest`, `pnpm
The skill directs agents to execute the mutable shadcn@latest package, creating expected package supply-chain and command-execution exposure.
中
Ruby/shell backtick execution
The JSON above contains the project config and installed components. Use `npx shadcn@latest docs <co
Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.
中
Ruby/shell backtick execution
1. **Use existing components first.** Use `npx shadcn@latest search` to check registries before writ
Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.
中
Ruby/shell backtick execution
- **Use `asChild` (radix) or `render` (base) for custom triggers.** Check `base` field from `npx sha
Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.
中
Ruby/shell backtick execution
- **Never decode preset codes or build preset URLs manually.** Use `npx shadcn@latest preset decode
Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.
中
Ruby/shell backtick execution
- **Apply preset codes directly with the CLI.** Use `npx shadcn@latest apply <code>` for existing pr
The apply and init commands execute a remote CLI and modify project configuration or source files.
中
Ruby/shell backtick execution
- **`packageManager`** → use this for any non-shadcn dependency installs (e.g. `pnpm add date-fns` v
This instruction can install dependencies with the project package manager, causing network access and project changes.
中
Ruby/shell backtick execution
- **`preset`** → resolved preset code and values for the current project. Use `npx shadcn@latest pre
Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.
中
Ruby/shell backtick execution
Run `npx shadcn@latest docs <component>` to get the URLs for a component's documentation, examples,
This instruction executes the mutable CLI and fetches returned URLs, creating legitimate network and remote-content exposure.
中
Ruby/shell backtick execution
**When creating, fixing, debugging, or using a component, always run `npx shadcn@latest docs` and fe
This instruction executes the mutable CLI and fetches returned URLs, creating legitimate network and remote-content exposure.
中
Ruby/shell backtick execution
1. **Get project context** — already injected above. Run `npx shadcn@latest info` again if you need
Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.
中
Ruby/shell backtick execution
3. **Find components** — `npx shadcn@latest search`.
Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.
中
Ruby/shell backtick execution
4. **Get docs and examples** — run `npx shadcn@latest docs <component>` to get URLs, then fetch them
This instruction executes the mutable CLI and fetches returned URLs, creating legitimate network and remote-content exposure.
中
Ruby/shell backtick execution
5. **Install or update** — `npx shadcn@latest add`. When updating existing components, use `--dry-ru
The add command downloads registry content and writes project files. Dry-run and diff guidance reduces this expected risk.
中
Ruby/shell backtick execution
6. **Fix imports in third-party components** — After adding components from community registries (e.
The workflow modifies imports in downloaded third-party files and reruns the CLI, creating project-write and dependency trust risk.
中
Ruby/shell backtick execution
- **Inspect current preset**: `npx shadcn@latest preset resolve`. Use `--json` when you need structu
Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.
中
Ruby/shell backtick execution
- **Inspect incoming preset**: `npx shadcn@latest preset decode <code>`. Use `preset url <code>` or
Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.
中
Ruby/shell backtick execution
- **Overwrite**: `npx shadcn@latest apply <code>`. Overwrites detected components, fonts, and CSS va
The apply command intentionally overwrites components, fonts, and CSS variables after user selection, creating substantial project modification risk.
中
Ruby/shell backtick execution
- **Partial**: `npx shadcn@latest apply <code> --only theme,font`. Updates only the selected preset
The partial apply command intentionally rewrites selected theme or font files, creating controlled project modification risk.
中
Ruby/shell backtick execution
- **Merge**: `npx shadcn@latest init --preset <code> --force --no-reinstall`, then run `npx shadcn@l
The merge workflow runs forced initialization and repeated CLI operations that can alter configuration and component files.
中
Ruby/shell backtick execution
- **Skip**: `npx shadcn@latest init --preset <code> --force --no-reinstall`. Only updates config and
The forced initialization command intentionally updates project configuration and CSS while preserving components.
中
Ruby/shell backtick execution
- **Important**: Always run preset commands inside the user's project directory. `apply` only works
Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.
中
Ruby/shell backtick execution
1. Run `npx shadcn@latest add <component> --dry-run` to see all files that would be affected.
Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.
中
Ruby/shell backtick execution
2. For each file, run `npx shadcn@latest add <component> --diff <file>` to see what changed upstream
Following this instruction executes the mutable shadcn@latest package. The operation is legitimate but carries package supply-chain and subprocess risk.
中
Ruby/shell backtick execution
- User says "just update everything" → use `--overwrite`, but confirm first.
This permits destructive overwrite after explicit user approval. It is expected behavior but remains a project-write risk.
中
Ruby/shell backtick execution
```bash
The fenced reference contains executable init, apply, add, search, and view commands that can download content and modify projects.
低
Hardcoded URL
npx shadcn@latest add https://api.npoint.io/abc123 --dry-run
The documented command retrieves content from a third-party registry URL. Dry-run limits writes, but remote content is still retrieved.
低
Hardcoded URL
npx shadcn@latest apply --preset "https://ui.shadcn.com/init?base=radix&style=nova&theme=blue&..."
The command passes an official remote preset URL to apply, causing expected network retrieval before project changes.
低
Hardcoded URL
-> read https://raw.githubusercontent.com/{owner}/{repo}/{sha}/registry.json
The registry workflow retrieves GitHub files at a pinned commit. Network access is intentional, and SHA pinning improves integrity.
リスク要因
🌐 ネットワークアクセス (14)
📁 ファイルシステムへのアクセス (7)
⚙️ 外部コマンド (50)
rules/base-vs-radix.md:160-165 rules/styling.md:148-149 SKILL.md:12 SKILL.md:16-17 SKILL.md:17-18 SKILL.md:18-20 SKILL.md:20-24 SKILL.md:24-26 SKILL.md:26 SKILL.md:27 SKILL.md:35-36 SKILL.md:36 SKILL.md:37 SKILL.md:38 SKILL.md:39 SKILL.md:40-41 SKILL.md:41-45 SKILL.md:45 SKILL.md:46 SKILL.md:47 SKILL.md:48 SKILL.md:49 SKILL.md:50 SKILL.md:54 SKILL.md:55 SKILL.md:56 SKILL.md:57 SKILL.md:58 SKILL.md:59 SKILL.md:60 SKILL.md:64-65 SKILL.md:65-66 SKILL.md:66-67 SKILL.md:67 SKILL.md:68 SKILL.md:69 SKILL.md:70-74 SKILL.md:74 SKILL.md:75 SKILL.md:76-80 SKILL.md:80 SKILL.md:81 SKILL.md:82 SKILL.md:86 SKILL.md:87 SKILL.md:93-126 SKILL.md:126-132 SKILL.md:132-133 SKILL.md:133 SKILL.md:134
監査者: codex 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/shadcn-shadcn/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/shadcn-shadcn?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/shadcn-shadcn?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/shadcn-shadcn/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/shadcn-shadcn.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
shadcn. (2026). shadcn security audit report (audit version 6) [Author version unspecified]. Skillstore. https://skillstore.io/skills/shadcn-shadcn/audits/6BibTeX形式の引用
@techreport{shadcn-shadcn-shadcn-2026,
author = {shadcn},
title = {shadcn security audit report (audit version 6)},
institution = {Skillstore},
year = {2026},
number = {6},
url = {https://skillstore.io/skills/shadcn-shadcn/audits/6},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "shadcn security audit report (audit version 6)"
version: "unspecified"
type: report
authors:
- name: "shadcn"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/shadcn-shadcn/audits/6"
identifiers:
- type: other
value: "skillstore:shadcn-shadcn:audit:6"
description: "Skillstore immutable audit report identifier"
バリアントを比較
インストール可能なバリアント 2 件各作者のスキルは個別のインストール項目として維持されます。推奨バリアントは Skillstore の証拠で順位付けされます。
このバリアントが首位の理由
Skillstore スコアが最高
Skillstore スコア
このスコアの理由 証拠の信頼度: 高 36
アーキテクチャ
85
保守性
87
コンテンツ
75
コミュニティ
83
仕様準拠
作成できるもの
プロジェクトに対応したコンポーネントを構築
プロジェクトの shadcn 設定に従うフォーム、ダイアログ、ダッシュボード、ナビゲーションを作成します。
コンポーネントライブラリを安全に更新
上流のコンポーネント変更をプレビューし、diff を比較し、更新時にローカル編集を保持します。
インストール前にレジストリアイテムを検査
サードパーティブロックを追加する前に、ファイル、依存関係、import、構成上の問題を確認します。
これらのプロンプトを試す
コンポーネントを追加
React ページに shadcn/ui button と card を追加してください。プロジェクトの aliases を使用し、CLI command を実行する前に説明してください。
フォームを構築
name、email、notification controls を含む settings form を作成してください。FieldGroup、Field、validation states、semantic colors、gap spacing を使用してください。
レジストリアイテムをレビュー
インストール前にこのサードパーティのレジストリアイテムを検査してください。想定されるファイル、依存関係、import 変更、承認が必要な問題を示してください。
presets を安全に切り替え
ローカルコンポーネント変更を保持したまま、このプロジェクトを radix-nova preset に切り替えてください。書き込みの前に dry-run と diff 手順を使用してください。
ベストプラクティス
- ローカル変更を上書きする可能性があるコンポーネント更新の前には、必ず dry-run と diff を実行します。
- aliases、framework、Tailwind version、base、style、icon library にはプロジェクトコンテキストを使用します。
- サードパーティのレジストリファイルは追加後に検査し、続行する前に imports を修正します。
回避
- ユーザーが未指定の block を求めている場合、registry を推測しないでください。
- CLI で registry items を検査できる場合、raw component files を手動で取得しないでください。
- 明示的なユーザー承認なしに overwrite、force、reinstall flags を使用しないでください。
よくある質問
このスキルは shadcn/ui components をインストールしますか？
shadcn CLI を通じたインストールをガイドできます。プロジェクト変更を説明し、まず preview commands を使用するべきです。
Claude、Codex、Claude Code をサポートしていますか？
はい。レポートでは Claude、Codex、Claude Code のサポートが宣言されています。
components.json file なしで動作できますか？
セットアップを説明できますが、プロジェクト固有のガイダンスには shadcn project context が必要です。
ローカルコンポーネントを上書きしますか？
まず dry-run と diff を使用するべきです。Overwrite または reinstall 手順には明示的な承認が必要です。
community registries を使用できますか？
はい。registry はユーザーが指定する必要があり、追加されたファイルはレビューされるべきです。
手動コードレビューの代替になりますか？
いいえ。本番環境で使用する前に、生成されたコンポーネント、依存関係、サードパーティのレジストリコードをレビューしてください。