技能 pnpm

📦

pnpm

Name: pnpm
Author: antfu

v2026.6.22 內容修訂 r2 高風險 ⚙️ 外部命令📁 檔案系統存取🌐 網路存取

以可靠指引管理 pnpm 專案

pnpm 專案需要精確的命令、嚴格的相依性處理，以及安全的設定選擇。此技能針對安裝、workspaces、CI、patches 和遷移任務提供聚焦指引。

支援: Claude Codex Code(CC)

⚠️ 38 差

Maintain this Skill? Claim it ⚠️ 38 差

安裝前請停止並請求確認。

請審查安裝計畫，並在變更檔案前取得使用者明確同意。

使用我的智慧代理安裝

將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。

智能體請求

Review the Skillstore skill "pnpm" from https://skillstore.io/skills/antfu-pnpm.md and its manifest at https://skillstore.io/api/skills/antfu-pnpm/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。

Agent 可讀資源

當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。

Markdown 詳情 GET /skills/antfu-pnpm.md 已簽名 manifest GET /api/skills/antfu-pnpm/manifest 已簽名 lockfile GET /api/skills/antfu-pnpm/lockfile

測試它

正在使用「pnpm」。為什麼 npm 可以成功安裝這個套件樹，但 pnpm 會失敗？

預期結果:

此技能會說明 phantom dependency 行為，識別缺少的直接相依性，並建議加入已宣告的相依性，而不是依賴 transitive packages。

正在使用「pnpm」。我們的儲存庫應該如何在 CI 中快取 pnpm 安裝？

預期結果:

此技能建議使用穩定的 pnpm 版本、frozen lockfiles、以鎖定檔為 key 的 store caching，以及針對已變更 workspaces 的獨立驗證。

正在使用「pnpm」。在 upstream fix 發布前，我們需要 patch 一個相依性。

預期結果:

此技能會概述 patch 工作流程，提醒你記錄原因，並建議在相依性升級時重新檢視該 patch。

安全審計

高風險

v5 • 2026/7/23 開啟版本化報告

The audit found no prompt injection or data-exfiltration intent. Most static alerts are Markdown syntax, example paths, placeholders, or safe configuration guidance. Confirmed concerns include credential-file inspection, recursive permission changes, third-party registry use, blanket build approval, unpinned execution, and destructive cleanup.

已掃描檔案

3,152

分析行數

複核項目

已忽略的誤報

已確認的安全問題 (4)

高

SKILL.md:12

NPM config file (may contain tokens)

**Configuration model (important):** pnpm settings now live in `pnpm-workspace.yaml` (and the global

The primary skill instruction tells agents to check .npmrc for authentication, although that file can contain live registry tokens. Reading it can expose credentials to model context or logs.

高

references/features-supply-chain-security.md:32

Blanket Dependency Build Approval

The guide lists blanket build approval without a nearby warning. This authorizes every pending dependency lifecycle script, allowing unreviewed package code to execute.

The documented command explicitly approves all pending builds. Dependency lifecycle scripts can execute arbitrary code with the installer account.

高

references/best-practices-migration.md:16

Unpinned Codemod Execution

The migration guide runs an unpinned codemod through pnpx. A compromised or malicious latest release could execute arbitrary code during migration.

The command names no package version or integrity value. pnpx may download and execute the registry-selected release.

中

references/best-practices-migration.md:297

Destructive Cleanup Without Confirmation

The rollback example recursively deletes dependencies, the lockfile, and workspace configuration. It provides no backup, path validation, or confirmation step before deletion.

The command directly names pnpm-workspace.yaml and uses recursive forced deletion. The surrounding rollback steps do not preserve or restore that configuration.

能力複核項目 (3)

這些是真實的本機能力，對此技能而言可能是預期行為，因此需要複核，但不會按已確認的惡意行為計分。

中

references/core-store.md:176

Shell command substitution

chmod -R u+w "$(pnpm store path)"

The command recursively changes permissions on a path resolved from pnpm configuration. A mistaken or malicious store path could modify permissions across unintended files.

中

references/core-store.md:175-177

Template literal with command substitution

# Fix store permissions (find the path with `pnpm store path`)

The surrounding Bash example recursively changes permissions on the dynamically resolved store path. It lacks path validation before applying chmod recursively.

低

references/best-practices-performance.md:155

Hardcoded URL

default: https://registry.npmmirror.com/

The performance guide recommends a third-party mirror as the default registry. This redirects all package metadata and downloads to infrastructure whose trust must be evaluated.

風險因素

⚙️ 外部命令 (14)

references/best-practices-ci.md:55 references/best-practices-ci.md:266 references/core-config.md:113-116 references/core-store.md:106-107 references/core-store.md:175-177 references/core-store.md:150 references/core-store.md:176 references/core-store.md:175-177 references/core-workspaces.md:145-148 references/features-catalogs.md:98-102 references/features-hooks.md:108-112 references/features-hooks.md:136-146 SKILL.md:12 SKILL.md:14

📁 檔案系統存取 (25)

🌐 網路存取 (13)

references/best-practices-migration.md:235 references/best-practices-migration.md:236 references/best-practices-performance.md:155 references/best-practices-performance.md:160 references/best-practices-performance.md:161 references/core-config.md:103 references/core-config.md:111 references/core-config.md:112 references/core-config.md:115 references/features-aliases.md:157 references/features-global-virtual-store.md:41 references/features-patches.md:151 SKILL.md:7

審計單位: codex 檢視審計紀錄 →

分享與引用此報告

分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。

開啟版本化報告

複製報告連結

https://skillstore.io/skills/antfu-pnpm/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/antfu-pnpm/security.svg)](https://skillstore.io/skills/antfu-pnpm?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/antfu-pnpm?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/antfu-pnpm/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/antfu-pnpm.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

學術引用 (APA · BibTeX · CFF)

APA 引用

antfu. (2026). pnpm security audit report (audit version 5) [Author version 2026.6.22]. Skillstore. https://skillstore.io/skills/antfu-pnpm/audits/5

BibTeX 引用

@techreport{antfu-antfu-pnpm-2026,
  author = {antfu},
  title = {pnpm security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/antfu-pnpm/audits/5},
  note = {Author version 2026.6.22}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "pnpm security audit report (audit version 5)"
version: "2026.6.22"
type: report
authors:
  - name: "antfu"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/antfu-pnpm/audits/5"
identifiers:
  - type: other
    value: "skillstore:antfu-pnpm:audit:5"
    description: "Skillstore immutable audit report identifier"

Skillstore 評分

評分依據證據置信度: 高

架構

100

可維護性

內容

社群

100

規範符合度

你可以打造什麼

設定 Monorepo

為多套件儲存庫規劃 workspace 套件、共享相依性版本、filters 和鎖定檔行為。

改善 CI 安裝

選擇 frozen lockfile 設定、Corepack 設定、cache keys 和 store paths，以獲得更快且可靠的建置。

解決相依性問題

診斷 peer dependency 警告、phantom dependency 失敗、overrides、patches 和遷移問題。

試試這些提示

了解我的專案

檢視我的 pnpm 專案版面配置。在變更相依性之前，說明 workspace 結構、重要設定檔案，以及安全的下一步。

修正相依性解析

協助我診斷這個 pnpm dependency 或 peer dependency 問題。說明可能原因、設定選項，以及最安全的修正方式。

最佳化 CI 工作流程

為此儲存庫設計 pnpm CI 安裝策略。涵蓋 Corepack、frozen lockfiles、caching、workspace filters 和 failure modes。

規劃套件管理器遷移

建立從 npm 或 Yarn 遷移到 pnpm 的計畫。包含相依性清理、workspace 轉換、鎖定檔變更，以及驗證步驟。

最佳實務

在 CI 中使用 frozen lockfiles，讓相依性解析保持可重現。
在可能的情況下，優先使用 pnpm-workspace.yaml 進行 pnpm 專屬的 workspace 設定。
記錄 overrides、package extensions 和 patches，讓未來升級時仍然清楚。

避免

不要依賴只透過 transitive packages 存在的 phantom dependencies。
不要將 registry tokens 或私有 .npmrc 值貼到 prompts 或 logs 中。
不要在沒有明確版本範圍與移除計畫的情況下，使用範圍過廣的 overrides 或 patches。

常見問題

這個技能用途是什麼？

它協助 AI coding tools 推理 pnpm 命令、設定、workspaces、CI、遷移與相依性維護。

它會自動執行 pnpm 命令嗎？

不會。它提供 AI agent 或使用者可在目前專案中套用的指引。

它可以協助 monorepos 嗎？

可以。它涵蓋 pnpm workspaces、filters、共享鎖定檔、catalogs 和 workspace dependency protocols。

它可以協助從 npm 或 Yarn 遷移嗎？

可以。它說明遷移步驟、鎖定檔變更、workspace 轉換，以及常見相容性問題。

.npmrc 中的 secrets 應如何處理？

請將 token 值保密。尋求協助時，只分享已遮蔽的設定或環境變數名稱。

哪些 AI tools 可以使用它？

報告列出支援 Claude、Codex 和 Claude Code。

開發者詳細資訊

作者

antfu

授權

MIT

作者版本

v2026.6.22

Skillstore 修訂

儲存庫

https://github.com/antfu/skills/tree/main/skills/pnpm/

引用

89edfdc710d0846129dcee6a929477b04f08052c

維護新鮮度

2026/7/24

使用量

6 次下載 · 219 次瀏覽

檔案結構

📄 GENERATION.md

📁 references/

📄 best-practices-ci.md

📄 best-practices-migration.md

📄 best-practices-performance.md

📄 core-cli.md

📄 core-config.md

📄 core-store.md

📄 core-workspaces.md

📄 features-aliases.md

📄 features-catalogs.md

📄 features-config-dependencies.md

📄 features-global-virtual-store.md

📄 features-hooks.md

📄 features-overrides.md

📄 features-patches.md

📄 features-peer-deps.md

📄 features-supply-chain-security.md

設計安全的部署管線

由 wshobson

當核准、測試、部署策略和復原路徑被分開設計時，發布管線經常會失敗。這項技能可協助 Claude、Codex 和 Claude Code 產生具備關卡、驗證與復原計畫的結構化 CI/CD 設計。

DevOps 與基礎設施查看

pnpm

使用我的智慧代理安裝

Agent 可讀資源

測試它

安全審計

已確認的安全問題 (4)

風險因素

複製報告連結

Markdown 徽章

HTML 徽章

嵌入卡片

APA 引用

BibTeX 引用

CITATION.cff

Skillstore 評分

你可以打造什麼

設定 Monorepo

改善 CI 安裝

解決相依性問題

試試這些提示

最佳實務

避免

常見問題

開發者詳細資訊

antfu 的更多技能

vue-router-best-practices

vue-testing-best-practices

vue-best-practices

vue

vite

vitest

相關技能

monorepo-management

senior-devops

cloud-devops

devops-orchestrator

workflow-orchestration

deployment-pipeline-design