📦
ml-antipattern-validator
81验证 ML 工作流中的隐藏反模式
ML 项目可能看起来准确，但数据泄漏或薄弱的评估会掩盖严重缺陷。此技能会指导对拆分、指标、训练和部署就绪情况进行结构化检查。
数据与分析 查看
技能 dependency-security
📦
dependency-security
v1.0 内容修订 r1 中风险 ⚙️ 外部命令🌐 网络访问
审计依赖项安全性并生成 SBOM
依赖项更新可能引入存在漏洞或不受信任的软件包。此技能可指导审计、更安全的更新、SBOM 创建和 CI 检查。
支持: Claude Codex Code(CC)
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "dependency-security" from https://skillstore.io/skills/doyajin174-dependency-security.md and its manifest at https://skillstore.io/api/skills/doyajin174-dependency-security/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“dependency-security”。 审查一个存在 high npm audit 发现项和陈旧依赖项的项目。
预期结果:
- 优先处理 high 和 critical 漏洞，以便立即修复。
- 将 patch、minor 和 major 更新拆分为更安全的审查组。
- 建议在提交依赖项变更前执行测试和 lockfile 检查。
正在使用“dependency-security”。 向 GitHub Actions 工作流添加依赖项检查。
预期结果:
- 一个使用 npm ci 安装并运行审计门禁的 CI 计划。
- 一个包含制品保留指南的 SBOM 生成步骤。
- 关于命令批准和版本固定安全工具的说明。
正在使用“dependency-security”。 评估是否使用新的 npm 软件包。
预期结果:
- 一份涵盖维护情况、许可证和漏洞状态的软件包信任检查清单。
- 关于接受、延迟或替换该依赖项的决策指导。
安全审计
中风险v8 • 2026/7/5 打开版本化报告
Most static findings are false positives from Markdown fences, documentation links, and .npmrc hardening examples. I found no prompt injection, credential collection, or exfiltration intent, but the skill does recommend unpinned npx execution for several tools, which creates supply-chain risk.
1
已扫描文件
314
分析行数
0
复核项
0
已忽略误报
已确认安全问题 (1)
中
Unpinned npx Tool Execution Guidance
The skill recommends several npx commands without version pins, including npm-check-updates, CycloneDX, npm-check, and license-checker. When executed, npx may download and run registry package code, which adds supply-chain risk to a security workflow.
The cited lines directly instruct users to run unversioned npx tools. This is a realistic supply-chain risk, although the packages named are common security tools and no malicious intent is evident.
风险因素
⚙️ 外部命令 (37)
SKILL.md:34-46 SKILL.md:46-50 SKILL.md:50-56 SKILL.md:56-60 SKILL.md:60-69 SKILL.md:69-75 SKILL.md:75-84 SKILL.md:84-88 SKILL.md:88-104 SKILL.md:104-110 SKILL.md:110-116 SKILL.md:116-120 SKILL.md:120-133 SKILL.md:133-137 SKILL.md:137-147 SKILL.md:147-153 SKILL.md:153-159 SKILL.md:159-163 SKILL.md:163-173 SKILL.md:173-177 SKILL.md:177-186 SKILL.md:186-192 SKILL.md:192-203 SKILL.md:203-207 SKILL.md:207-216 SKILL.md:216-222 SKILL.md:222-232 SKILL.md:232-236 SKILL.md:236-247 SKILL.md:247-251 SKILL.md:251-273 SKILL.md:273-279 SKILL.md:279-280 SKILL.md:280-282 SKILL.md:282-283 SKILL.md:90 SKILL.md:88-104
🌐 网络访问 (5)
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/doyajin174-dependency-security/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/doyajin174-dependency-security?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/doyajin174-dependency-security?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/doyajin174-dependency-security/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/doyajin174-dependency-security.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
Doyajin174. (2026). dependency-security security audit report (audit version 8) [Author version 1.0]. Skillstore. https://skillstore.io/skills/doyajin174-dependency-security/audits/8BibTeX 引用
@techreport{doyajin174-doyajin174-dependency-security-2026,
author = {Doyajin174},
title = {dependency-security security audit report (audit version 8)},
institution = {Skillstore},
year = {2026},
number = {8},
url = {https://skillstore.io/skills/doyajin174-dependency-security/audits/8},
note = {Author version 1.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dependency-security security audit report (audit version 8)"
version: "1.0"
type: report
authors:
- name: "Doyajin174"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/doyajin174-dependency-security/audits/8"
identifiers:
- type: other
value: "skillstore:doyajin174-dependency-security:audit:8"
description: "Skillstore immutable audit report identifier"
Skillstore 评分
评分依据 证据置信度: 高 55
架构
85
可维护性
87
内容
70
社区
83
规范符合性
你能构建什么
审查新软件包
在将软件包添加到项目之前，检查其声誉、维护情况、许可证适配性和审计结果。
准备安全审查
创建审计检查清单、更新依赖项，并生成 SBOM 作为审查证据。
添加 CI 依赖项门禁
添加运行 npm audit、保留 lockfile 并发布 SBOM 制品的流水线步骤。
试试这些提示
检查我的依赖项
请审查此 npm 项目的依赖项安全性。在运行任何命令之前，总结审计风险、过时的软件包和安全的后续步骤。
评估新软件包
评估我是否应该添加此 npm 软件包。检查维护情况、下载量、许可证兼容性、已知漏洞和更安全的替代方案。
创建 SBOM 工作流
为此仓库设计一个 SBOM 生成工作流。包括工具选择、输出格式、存储位置和 CI 制品处理方式。
加固 CI 依赖项控制
制定 CI 依赖项安全计划，包括审计阈值、lockfile 强制执行、更新节奏、SBOM 生成和手动批准门禁。
最佳实践
- 在应用自动依赖项修复之前审查审计输出。
- 提交 lockfile，并在 CI 中使用确定性安装。
- 运行外部软件包命令时固定安全工具版本。
避免
- 在没有测试或 changelog 审查的情况下运行强制依赖项修复。
- 在自动化安全流水线中使用未固定版本的 npx 工具。
- 因为 moderate 漏洞当前不构成阻断而忽略它们。
常见问题
此技能会自动运行安全工具吗？
它提供工作流和命令示例。Shell 命令在执行前应要求用户批准。
它最适合支持哪个生态系统？
它最适合支持 npm 和 JavaScript 项目。其他生态系统可能需要不同的命令和工具。
它可以生成 SBOM 吗？
它解释如何使用常见的 npm 兼容工具生成 CycloneDX 或 SPDX SBOM 文件。
它能替代漏洞扫描器吗？
不能。它会组织扫描器使用方式和审查步骤，但结果来自外部工具和数据库。
团队应如何处理 audit fix 命令？
在分支中运行它们，检查变更，运行测试，并避免强制修复，除非有明确原因。
这可以与 Claude、Codex 和 Claude Code 一起使用吗？
可以。该内容兼容 Claude、Codex 和 Claude Code 的仓库审查工作流。
开发者详情
作者
Doyajin174许可证
MIT
作者版本
v1.0
Skillstore 修订
r1
版本提示
作者声明的版本不符合 SemVer 规范。
引用
c579efd02184f1128d6741d16e6c8d951d7d4208
维护新鲜度
2026/7/25
使用量
4 次下载 · 224 次浏览
文件结构
📄 SKILL.md
Doyajin174 的更多技能
查看全部📦
systematic-debugging
79系统化调试软件问题
当在理解证据之前就开始修复时，调试往往会失败。本技能引导 Claude、Codex 和 Claude Code 进行根因分析、模式比较、假设测试和已验证的修复。
编码与开发 查看
📦
prompt-engineering
79编写更好的 AI 提示词
模糊的提示词往往会产生不完整或不一致的 AI 响应。此技能为 Claude、Codex 和 Claude Code 提供清晰的结构、示例和迭代方法。
写作与内容 查看
📦
readme-for-developers
79创建开发者入门 README
新贡献者常常会在查找设置步骤、架构背景和归属规则上浪费时间。此技能会将项目事实转化为结构化 README，以支持入门、调试和交付。
文档 查看
📦
adr-log
79使用 ADR 记录架构决策
团队常常会忘记重大技术选择当初为什么会被做出。此技能可帮助起草、审查和整理 ADR，并提供清晰的背景、替代方案和后果说明。
文档 查看
📦
report-writing
78创建完成报告
团队在已完成工作未被记录时会丢失上下文。此技能会将变更、影响、验证和后续任务整理成结构化的完成报告。
文档 查看
相关技能
查看全部📦
dependency-auditor
68审计依赖项安全
由 CuriousLearner
依赖项漏洞会带来发布风险和供应链暴露风险。此技能可帮助 Claude、Codex 和 Claude Code 审查软件包并规划修复方案。
安全与合规 查看
📦
vulnerability-scanner
75借助 OWASP 指南审查漏洞风险
由 sickn33
当发现项仅以列表形式呈现、缺少攻击路径或业务风险背景时，安全审查常常会遗漏关键上下文。此技能结合 OWASP 指南、本地检查和优先级提示，帮助开展可执行的安全工作。
安全与合规 查看
📦
ci-cd-security
75Audit GitHub Actions Workflows
由 superagent-ai
GitHub Actions workflows can expose credentials, repositories, and releases through subtle configuration errors. This skill applies a structured security review and proposes concrete fixes.
安全与合规 查看
📦
Security Researcher
70使用结构化检查清单审计安全风险
由 ClementWalter
当团队依赖临时提出的问题时，安全审查可能会遗漏重要控制项。此技能引导 Claude、Codex 和 Claude Code 在应用程序、基础设施、供应链、密码学、智能合约和 ZK 领域开展结构化审计。
安全与合规 查看
📦
security-scanning-security-dependencies
69扫描依赖项安全风险
由 sickn33
依赖项漏洞和许可证风险很难跨生态系统跟踪。此技能可指导扫描、优先级排序、SBOM 创建和修复规划。
安全与合规 查看
📦
plugin-scanner
69Scan AI Plugins Before Installation
由 hashgraph-online
Unreviewed agent extensions can contain prompt injection, unsafe commands, secret exposure, or supply-chain risks. This skill guides local scanning and clear interpretation before trust.
安全与合规 查看