Habilidades dependency-sync

📦

dependency-sync

Name: dependency-sync
Author: Consiliency

Revisão do conteúdo r1 Risco alto ⚡ Contém scripts⚙️ Comandos externos🌐 Acesso à rede📁 Acesso ao sistema de arquivos🔑 Variáveis de ambiente

Sincronizar Dependências do Projeto Automaticamente

Novos imports frequentemente fazem builds falharem quando os manifests não são atualizados. Esta skill detecta imports adicionados e ajuda a instalar ou registrar os pacotes correspondentes.

Suporta: Claude Codex Code(CC)

⚠️ 38 Ruim

Pare e solicite confirmação antes de instalar.

Revise o plano e obtenha o consentimento explícito do usuário antes de alterar arquivos.

Instalar com meu Agente

Copie esta solicitação para o seu Agente. Ela inclui a página canônica do Skill e o manifesto.

Solicitação do agente

Review the Skillstore skill "dependency-sync" from https://skillstore.io/skills/consiliency-dependency-sync.md and its manifest at https://skillstore.io/api/skills/consiliency-dependency-sync/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Seu Agente ainda deve apresentar o plano e solicitar qualquer confirmação exigida pela política de segurança.

Recursos legíveis por agentes

Use estes links quando um agente de IA, crawler ou script precisar de contexto limpo em vez de ler a página completa.

Detalhe em Markdown GET /skills/consiliency-dependency-sync.md manifest assinado GET /api/skills/consiliency-dependency-sync/manifest lockfile assinado GET /api/skills/consiliency-dependency-sync/lockfile

Testar

Usando "dependency-sync". Adicionei rotas FastAPI e testes assíncronos de banco de dados.

Resultado esperado:

Detectado fastapi como dependência de produção.
Detectado pytest-asyncio como dependência de desenvolvimento.
Recomendada a atualização de pyproject.toml após aprovação.

Usando "dependency-sync". Adicionei React Query a uma funcionalidade TypeScript.

Resultado esperado:

A skill mapeia o import para o pacote npm com escopo, classifica-o como produção e prepara a atualização do package manifest.

Usando "dependency-sync". Apenas refatorei arquivos que já tinham seus imports declarados.

Resultado esperado:

A skill relata que todos os imports já estão presentes e nenhuma atualização de manifest é necessária.

Auditoria de segurança

Risco alto

v9 • 13/07/2026 Abrir o relatório versionado

Most static detections are Markdown syntax, built-in module lists, or mapping examples and are false positives. Eight findings are confirmed because the skill directs agents to run package-manager commands with inferred package names. Default automatic installation and commit settings create supply-chain and repository-integrity risks.

Arquivos analisados

824

Linhas analisadas

Itens de revisão

Falsos positivos ignorados

Preocupações de segurança confirmadas (2)

Alto

SKILL.md:14-15 SKILL.md:24-29 SKILL.md:86-101 cookbook/python-imports.md:125-127

Automatic Installation of Inferred Packages

Automatic installation is enabled while confirmation is disabled. Inferred names can select malicious or mistaken registry packages and execute installation code before review.

The defaults and mandatory workflow directly require installation, while the Python fallback assumes unknown import names equal registry package names.

Médio

SKILL.md:17

Automatic Repository Commits Enabled

The default enables committing manifest changes without a required user review gate. This can place incorrect dependency changes into repository history.

The COMMIT_CHANGES setting is explicitly true, although the provided files do not contain the implementation that performs the commit.

Itens de revisão de capacidade (8)

Estas são capacidades locais reais que podem ser esperadas para esta habilidade, portanto exigem revisão, mas não são contabilizadas como comportamento malicioso confirmado.

Alto

SKILL.md:90-102

Ruby/shell backtick execution

```bash

This block explicitly instructs the agent to execute package-manager commands for inferred packages. Automatic installation can fetch untrusted code and run installation hooks.

Médio

SKILL.md:71

Ruby/shell backtick execution

| `pyproject.toml` (with uv) | uv | `uv add <package>` |

The workflow selects this uv command for automatic execution with inferred package names. It can download and install unreviewed Python packages without confirmation.

Médio

SKILL.md:72

Ruby/shell backtick execution

| `pyproject.toml` (poetry) | poetry | `poetry add <package>` |

The workflow selects this Poetry command for automatic execution with inferred package names. It can resolve and install unreviewed Python packages without confirmation.

Médio

SKILL.md:73

Ruby/shell backtick execution

| `requirements.txt` | pip | `pip install <package>` |

The workflow selects pip install for inferred package names. Python package installation can run untrusted build code before the user reviews the dependency.

Médio

SKILL.md:74

Ruby/shell backtick execution

| `package.json` | npm/yarn/pnpm | `npm install <package>` |

The workflow selects npm install for inferred package names. Installation can run package lifecycle scripts and modify manifests without prior user confirmation.

Médio

SKILL.md:75

Ruby/shell backtick execution

| `Cargo.toml` | cargo | `cargo add <package>` |

The workflow selects cargo add for inferred crate names. This introduces an unreviewed dependency and changes the project manifest and lockfile.

Médio

SKILL.md:76

Ruby/shell backtick execution

| `go.mod` | go | `go get <package>` |

The workflow selects go get for inferred module names. This downloads unreviewed modules and changes go.mod and go.sum.

Médio

SKILL.md:77

Ruby/shell backtick execution

| `pubspec.yaml` | pub | `flutter pub add <package>` |

The workflow selects flutter pub add for inferred package names. This downloads an unreviewed dependency and changes the project manifest and lockfile.

Fatores de risco

⚡ Contém scripts (2)

cookbook/dependency-classification.md:101-102 cookbook/node-imports.md:11

⚙️ Comandos externos (42)

🌐 Acesso à rede (1)

cookbook/node-imports.md:95

📁 Acesso ao sistema de arquivos (2)

cookbook/python-imports.md:11 cookbook/python-imports.md:18

🔑 Variáveis de ambiente (1)

cookbook/python-imports.md:32

Auditado por: codex Ver histórico de auditoria →

Compartilhar e citar este relatório

Compartilhe o relatório de avaliação versionado, o badge neutro, o cartão incorporável e as citações. A Skillstore apresenta evidências sem decidir se este Skill é seguro.

Abrir o relatório versionado

Copiar link do relatório

https://skillstore.io/skills/consiliency-dependency-sync/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/consiliency-dependency-sync/security.svg)](https://skillstore.io/skills/consiliency-dependency-sync?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/consiliency-dependency-sync?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/consiliency-dependency-sync/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Cartão incorporável

<iframe src="https://skillstore.io/embed/skills/consiliency-dependency-sync.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citações acadêmicas (APA · BibTeX · CFF)

Citação APA

Consiliency. (2026). dependency-sync security audit report (audit version 9) [Author version unspecified]. Skillstore. https://skillstore.io/skills/consiliency-dependency-sync/audits/9

Citação BibTeX

@techreport{consiliency-consiliency-dependency-sync-2026,
  author = {Consiliency},
  title = {dependency-sync security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/consiliency-dependency-sync/audits/9},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dependency-sync security audit report (audit version 9)"
version: "unspecified"
type: report
authors:
  - name: "Consiliency"
date-released: "2026-07-13"
url: "https://skillstore.io/skills/consiliency-dependency-sync/audits/9"
identifiers:
  - type: other
    value: "skillstore:consiliency-dependency-sync:audit:9"
    description: "Skillstore immutable audit report identifier"

Pontuação do Skillstore

Por que esta pontuação Confiança das evidências: Médio

Arquitetura

Manutenibilidade

Conteúdo

Comunidade

Conformidade com a especificação

O que você pode criar

Manter Manifests de Backend Atualizados

Detecte novos imports Python após trabalho em API e atualize pyproject.toml ou requirements.txt com o grupo de dependências correto.

Atualizar Pacotes de Frontend Após Funcionalidades

Mapeie novos imports React ou TypeScript para nomes de pacotes npm e coloque pacotes de ferramentas em devDependencies.

Adicionar Dependências de Teste Corretamente

Identifique imports exclusivos de teste e classifique frameworks, fixtures e pacotes de tipos como dependências de desenvolvimento.

Teste estes prompts

Sincronizar Imports Ausentes

Revise os arquivos que alterei, identifique novos imports e atualize o dependency manifest correto. Pergunte antes de instalar qualquer pacote.

Classificar Tipo de Dependência

Verifique se cada nova dependência pertence às dependências de produção ou de desenvolvimento. Explique o posicionamento antes de fazer alterações.

Auditar Alterações Multi-Linguagem

Verifique minhas alterações em Python, Node.js, Go e Rust em busca de novos imports. Use o gerenciador de pacotes correspondente para cada manifest.

Planejar Antes de Instalar

Produza um plano dry-run que mapeie imports para pacotes, mostre comandos exatos, sinalize riscos de cadeia de suprimentos e aguarde aprovação.

Boas práticas

Execute em modo dry-run ou solicite aprovação antes de instalar pacotes.
Revise os nomes de pacotes resolvidos para riscos de typosquatting e dependency confusion.
Execute testes e inspecione os diffs de manifest e lockfile após as alterações.

Evitar

Não instale pacotes automaticamente a partir de imports não revisados em código não confiável.
Não presuma que nomes de import sempre correspondem aos nomes de pacotes no registry.
Não faça commit de alterações de manifest ou lockfile antes de um humano revisar o diff.