技能 dependency-management-deps-audit

📦

dependency-management-deps-audit

Name: dependency-management-deps-audit
Author: sickn33

内容修订 r2 中风险 ⚙️ 外部命令🌐 网络访问📁 文件系统访问

审核项目依赖的安全性

依赖漂移会在现代项目中带来安全、许可证和维护风险。此技能会引导 Claude、Codex 和 Claude Code 进行结构化审核并制定修复计划。

支持: Claude Codex Code(CC)

⚠️ 50 差

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "dependency-management-deps-audit" from https://skillstore.io/skills/sickn33-dependency-management-deps-audit.md and its manifest at https://skillstore.io/api/skills/sickn33-dependency-management-deps-audit/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/sickn33-dependency-management-deps-audit.md 已签名 manifest GET /api/skills/sickn33-dependency-management-deps-audit/manifest 已签名 lockfile GET /api/skills/sickn33-dependency-management-deps-audit/lockfile

测试它

正在使用“dependency-management-deps-audit”。审核一个包含包清单和锁定文件的 Node.js 服务。

预期结果:

优先报告严重和高危依赖项漏洞。
推荐已修补版本，并注明可能的破坏性变更。
列出合并更新前要运行的测试。

正在使用“dependency-management-deps-audit”。审查一个混合 Python 和 JavaScript 项目的许可证问题。

预期结果:

按许可证类别对依赖项分组。
标记 GPL、AGPL、专有和未知许可证以供审查。
建议对高风险包进行替代方案研究。

正在使用“dependency-management-deps-audit”。为仓库准备依赖项监控。

预期结果:

定义定期扫描和由清单触发的检查。
为严重漏洞设置失败规则。
添加告警路由和审查清单指南。

安全审计

中风险

v5 • 2026/7/23 打开版本化报告

Static detections mostly reflect benign Markdown, JavaScript templates, fixed shell expressions, and expected registry access in documentation. One low-severity network finding remains because Bundlephobia receives package names and versions. Semantic review found unsafe force-upgrade rollback guidance and unpinned CI tooling, with no malicious intent or prompt injection.

已扫描文件

820

分析行数

复核项

已忽略误报

已确认安全问题 (2)

中

resources/implementation-playbook.md:595-608

Unsafe Force Upgrade and Incomplete Rollback

The remediation script runs `npm audit fix --force`, which may install breaking updates and execute dependency lifecycle scripts. Its failure path reverts only `package-lock.json`.

The cited script directly enables forced upgrades, then restores only one file after failed tests. This leaves other modified state outside the rollback.

中

resources/implementation-playbook.md:714 resources/implementation-playbook.md:728-734 resources/implementation-playbook.md:738

Unpinned Executable CI Dependencies

The CI example uses mutable action tags and installs `safety` and `license-checker` without versions. Upstream compromise or drift could execute unexpected code in CI.

The workflow directly references major action tags and unversioned package installations. Each dependency can execute within the CI environment.

能力复核项 (1)

这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。

低

resources/implementation-playbook.md:467

Fetch API call

const response = await fetch(

The sample sends every package name and version to Bundlephobia. Private dependency metadata could leave the environment without explicit consent.

风险因素

⚙️ 外部命令 (9)

resources/implementation-playbook.md:468-491 resources/implementation-playbook.md:491-496 resources/implementation-playbook.md:496-508 resources/implementation-playbook.md:748-753 resources/implementation-playbook.md:720 resources/implementation-playbook.md:721 resources/implementation-playbook.md:584 SKILL.md:38 SKILL.md:47

🌐 网络访问 (9)

resources/implementation-playbook.md:467 resources/implementation-playbook.md:562 resources/implementation-playbook.md:184 resources/implementation-playbook.md:144 resources/implementation-playbook.md:145 resources/implementation-playbook.md:146 resources/implementation-playbook.md:147 resources/implementation-playbook.md:185 resources/implementation-playbook.md:468

📁 文件系统访问 (1)

resources/implementation-playbook.md:234

审计者: codex 查看审计历史 →

分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告

复制报告链接

https://skillstore.io/skills/sickn33-dependency-management-deps-audit/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/sickn33-dependency-management-deps-audit/security.svg)](https://skillstore.io/skills/sickn33-dependency-management-deps-audit?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/sickn33-dependency-management-deps-audit?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-dependency-management-deps-audit/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/sickn33-dependency-management-deps-audit.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学术引用 (APA · BibTeX · CFF)

APA 引用

sickn33. (2026). dependency-management-deps-audit security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-dependency-management-deps-audit/audits/5

BibTeX 引用

@techreport{sickn33-sickn33-dependency-management-deps-audit-2026,
  author = {sickn33},
  title = {dependency-management-deps-audit security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/sickn33-dependency-management-deps-audit/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dependency-management-deps-audit security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "sickn33"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/sickn33-dependency-management-deps-audit/audits/5"
identifiers:
  - type: other
    value: "skillstore:sickn33-dependency-management-deps-audit:audit:5"
    description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据证据置信度: 高

架构

可维护性

内容

社区

规范符合性

你能构建什么

发布前审核

在生产发布前审查依赖项，并优先处理会阻止发布的修复项。

审查许可证暴露风险

在法务批准前识别不兼容、未知或限制性的依赖项许可证。

维护安全监控

为仓库变更和定期检查设计周期性依赖项扫描与告警。

试试这些提示

运行基础审核

审核此项目的依赖项漏洞。识别包管理器，运行安全的只读检查，并优先总结关键修复项。

检查许可证风险

审查此仓库的依赖项许可证。标记不兼容、未知或限制性许可证，并建议安全的替代选项。

制定修复计划

创建一个按优先级排序的依赖项更新计划。包括风险、升级目标、测试范围、回滚说明和可分配给负责人的任务。

构建持续监控

为此项目设计依赖项安全工作流。包括定期扫描、失败条件、私有包保护措施和告警路由。

最佳实践

在更改依赖项文件前，先从只读扫描开始。
尽可能将安全补丁与重大升级分开处理。
通过测试、锁定文件审查和回滚说明验证每次更新。

避免

未审查生成的变更就运行强制性包更新。
使用公共注册表 API 时忽略私有包泄露风险。
在缺乏上下文的情况下，将漏洞数量视为可利用性的证明。

常见问题

此技能会自动更新依赖项吗？

它可以建议命令和脚本，但用户应在执行前批准并审查变更。

涵盖哪些生态系统？

此行动手册涵盖 npm、Python、Ruby、Maven、Go、Rust、PHP 和 .NET 依赖项文件。

它可以检查许可证吗？

可以。它会审查许可证兼容性、限制性许可证、未知许可证和合规风险。

它需要互联网访问吗？

部分检查会使用外部公告、注册表和包大小服务来获取最新数据。

它可以替代安全审查吗？

不是。它支持分类处置和规划，但团队必须验证可利用性和业务影响。

Claude Code 或 Codex 可以在仓库中使用它吗？

可以。当清单和锁定文件可用时，它适用于仓库审核。

开发者详情

作者

sickn33

许可证

MIT

Skillstore 修订

版本提示

作者未声明版本。

仓库

https://github.com/sickn33/antigravity-awesome-skills/tree/main/skills/dependency-management-deps-audit

引用

f9e2c34b4f19c7f3e6b0a1e93227b5f77cc12526

维护新鲜度

2026/7/26

使用量

8 次下载 · 115 次浏览

文件结构

📁 resources/

📄 implementation-playbook.md

📄 SKILL.md