技能 pixi-package-manager

📦

pixi-package-manager

Name: pixi-package-manager
Author: CodingKaiser

內容修訂 r1 嚴重 ⚙️ 外部命令🌐 網路存取📁 檔案系統存取

管理可重現的 Python 環境

科學 Python 團隊經常需要在 conda 和 PyPI 套件之間維持可重現的環境。此技能提供實用的 Pixi 工作流程，涵蓋設定、依賴項群組、任務、遷移和 CI。

支援: Claude Codex Code(CC)

⚠️ 38 差

Maintain this Skill? Claim it ⚠️ 38 差

請勿自動安裝此 Skill。

權威政策要求在執行任何安裝操作前由操作人員審查。

使用我的智慧代理安裝

將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。

智能體請求

Review the Skillstore skill "pixi-package-manager" from https://skillstore.io/skills/codingkaiser-pixi-package-manager.md and its manifest at https://skillstore.io/api/skills/codingkaiser-pixi-package-manager/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。

Agent 可讀資源

當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。

Markdown 詳情 GET /skills/codingkaiser-pixi-package-manager.md 已簽名 manifest GET /api/skills/codingkaiser-pixi-package-manager/manifest 已簽名 lockfile GET /api/skills/codingkaiser-pixi-package-manager/lockfile

測試它

正在使用「pixi-package-manager」。我需要一個用於地理空間分析的 Pixi 設定。

預期結果:

一份專案計畫，將核心地理空間依賴項、開發工具、notebooks 和可重複執行的資料處理任務分開。

正在使用「pixi-package-manager」。我有一個 requirements.txt 檔案，想要遷移到 Pixi。

預期結果:

一份遷移檢查清單，將套件對應到 conda-forge 或 PyPI、識別有風險的版本釘選，並建議提交前的審查步驟。

正在使用「pixi-package-manager」。我的 CI 作業很慢且結果不一致。

預期結果:

一份 CI 改善計畫，涵蓋 lockfile 使用方式、快取策略、更安全的 Pixi 安裝，以及以任務為基礎的測試執行。

安全審計

嚴重

v8 • 2026/7/5 開啟版本化報告

The audit confirms one critical supply-chain issue: a CI example pipes a remote Pixi installer directly into bash. It also confirms medium-risk shell-hook eval guidance; the remaining static matches are markdown examples, resource links, placeholder paths, or prose-only false positives.

已掃描檔案

1,316

分析行數

複核項目

已忽略的誤報

已確認的安全問題 (1)

嚴重

SKILL.md:839

Pipe to shell pattern

- curl -fsSL https://pixi.sh/install.sh | bash

The GitLab CI example downloads an installer from https://pixi.sh/install.sh and pipes it directly to bash. This executes remote code without checksum or signature verification and is a supply-chain risk.

能力複核項目 (2)

這些是真實的本機能力，對此技能而言可能是預期行為，因此需要複核，但不會按已確認的惡意行為計分。

高

SKILL.md:839

Hardcoded URL

- curl -fsSL https://pixi.sh/install.sh | bash

The hardcoded URL is not just a reference link; it is used in a curl-to-bash install command. If copied, CI would execute code fetched from that endpoint without verification.

中

SKILL.md:1132

Shell command substitution

eval "$(pixi shell-hook)"

The skill recommends eval "$(pixi shell-hook)" in bash scripts, which executes shell text produced by the pixi binary. This is a normal activation pattern, but it still evaluates command output and should be limited to trusted installations.

風險因素

⚙️ 外部命令 (111)

SKILL.md:8 SKILL.md:16-26 SKILL.md:26-29 SKILL.md:29-60 SKILL.md:60-64 SKILL.md:64-88 SKILL.md:88-108 SKILL.md:108-118 SKILL.md:118-127 SKILL.md:127-129 SKILL.md:129-134 SKILL.md:134-145 SKILL.md:145-157 SKILL.md:157-163 SKILL.md:163-170 SKILL.md:170-182 SKILL.md:182-191 SKILL.md:191-219 SKILL.md:219-223 SKILL.md:223-253 SKILL.md:253-259 SKILL.md:259 SKILL.md:263-283 SKILL.md:283-285 SKILL.md:285-286 SKILL.md:286-287 SKILL.md:287-288 SKILL.md:288-296 SKILL.md:296-352 SKILL.md:352-356 SKILL.md:356-368 SKILL.md:368-376 SKILL.md:376-454 SKILL.md:454-458 SKILL.md:458-480 SKILL.md:480-488 SKILL.md:488-514 SKILL.md:514-536 SKILL.md:536-580 SKILL.md:580-584 SKILL.md:584-602 SKILL.md:602-610 SKILL.md:610-641 SKILL.md:641-645 SKILL.md:645-653 SKILL.md:653-661 SKILL.md:661-694 SKILL.md:694-698 SKILL.md:698-710 SKILL.md:710-718 SKILL.md:718-748 SKILL.md:748-752 SKILL.md:752-765 SKILL.md:765-779 SKILL.md:779-830 SKILL.md:830-834 SKILL.md:834-868 SKILL.md:868-874 SKILL.md:874-876 SKILL.md:876-900 SKILL.md:900-904 SKILL.md:904-918 SKILL.md:918-923 SKILL.md:923-924 SKILL.md:924-928 SKILL.md:928 SKILL.md:936-939 SKILL.md:939-948 SKILL.md:948-951 SKILL.md:951-957 SKILL.md:957-958 SKILL.md:958-970 SKILL.md:970-972 SKILL.md:972-1017 SKILL.md:1017-1020 SKILL.md:1020-1030 SKILL.md:1030-1037 SKILL.md:1037-1052 SKILL.md:1052-1056 SKILL.md:1056-1059 SKILL.md:1059-1073 SKILL.md:1073-1080 SKILL.md:1080-1095 SKILL.md:1095-1099 SKILL.md:1099-1102 SKILL.md:1102-1115 SKILL.md:1115-1119 SKILL.md:1119-1122 SKILL.md:1122-1138 SKILL.md:1138-1142 SKILL.md:1142-1145 SKILL.md:1145-1158 SKILL.md:1158-1165 SKILL.md:1165-1176 SKILL.md:1176-1180 SKILL.md:1180-1183 SKILL.md:1183-1199 SKILL.md:1199-1206 SKILL.md:1206-1219 SKILL.md:1219-1226 SKILL.md:1226-1232 SKILL.md:1232-1234 SKILL.md:1234-1240 SKILL.md:1240-1247 SKILL.md:1247-1261 SKILL.md:1261-1263 SKILL.md:1263-1268 SKILL.md:1268-1272 SKILL.md:1272-1286 SKILL.md:1132 SKILL.md:1122-1138

🌐 網路存取 (25)

📁 檔案系統存取 (4)

SKILL.md:513 SKILL.md:1231 SKILL.md:840 SKILL.md:274

偵測到的模式

Pipe to shell pattern

審計單位: codex 檢視審計紀錄 →

分享與引用此報告

分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。

開啟版本化報告

複製報告連結

https://skillstore.io/skills/codingkaiser-pixi-package-manager/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/codingkaiser-pixi-package-manager/security.svg)](https://skillstore.io/skills/codingkaiser-pixi-package-manager?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/codingkaiser-pixi-package-manager?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/codingkaiser-pixi-package-manager/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/codingkaiser-pixi-package-manager.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

學術引用 (APA · BibTeX · CFF)

APA 引用

CodingKaiser. (2026). pixi-package-manager security audit report (audit version 8) [Author version unspecified]. Skillstore. https://skillstore.io/skills/codingkaiser-pixi-package-manager/audits/8

BibTeX 引用

@techreport{codingkaiser-codingkaiser-pixi-package-manager-2026,
  author = {CodingKaiser},
  title = {pixi-package-manager security audit report (audit version 8)},
  institution = {Skillstore},
  year = {2026},
  number = {8},
  url = {https://skillstore.io/skills/codingkaiser-pixi-package-manager/audits/8},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "pixi-package-manager security audit report (audit version 8)"
version: "unspecified"
type: report
authors:
  - name: "CodingKaiser"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/codingkaiser-pixi-package-manager/audits/8"
identifiers:
  - type: other
    value: "skillstore:codingkaiser-pixi-package-manager:audit:8"
    description: "Skillstore immutable audit report identifier"

Skillstore 評分

評分依據證據置信度: 中

架構

可維護性

內容

社群

規範符合度

你可以打造什麼

開始研究專案

為 notebooks、測試和科學函式庫建立可重現的 Pixi 環境。

遷移現有依賴項

將 requirements.txt 或 environment.yml 工作流程轉換為更乾淨的 Pixi 專案配置。

標準化 CI 環境

使用 lockfiles 和 Pixi 任務，讓測試和建置作業更可重複執行。

試試這些提示

建立新的 Pixi 專案

為新的科學 Python 專案建立 Pixi 設定計畫。包含依賴項、環境、任務，以及我應該提交的檔案。

遷移現有依賴項

檢視我目前的依賴項清單，並提出 Pixi 遷移計畫。分開列出 conda-forge 套件、PyPI 套件、開發工具和選用功能。

設計多環境任務

為開發、測試、文件和生產設計 Pixi 環境和任務。說明每個環境應如何使用。

最佳化 Pixi CI

分析我的 Pixi CI 工作流程。建議更安全的安裝、快取、lockfile 使用方式，以及可靠建置所需的任務結構。

最佳實務

提交 pixi.lock，並在 pull requests 中審查 lockfile 變更。
針對已編譯的科學依賴項使用 conda-forge，針對純 Python 缺口使用 PyPI。
自動化時偏好使用 pixi run tasks，讓環境明確且可重複執行。

避免

不要在未追蹤的情況下，將未受管理的 pip installs 混入 Pixi 環境。
不要對關鍵的生產或研究依賴項使用寬鬆的版本範圍。
不要在 CI 中未經驗證或未使用可信任 setup action 的情況下執行遠端 installers。

常見問題

Pixi 用來做什麼？

Pixi 管理可重現的專案環境，可結合 conda-forge 套件、PyPI 套件、任務和 lockfiles。

這會取代 conda 嗎？

它可以取代許多 conda 或 mamba 工作流程，同時仍使用 conda-forge 套件生態系。

它可以搭配 PyPI 套件使用嗎？

可以。此技能會說明何時使用 PyPI 依賴項，以及如何用 Pixi 保持其組織有序。

這對 CI 有用嗎？

可以。它涵蓋 lockfiles、任務，以及用於測試和建置管線的可重複環境設定。

它可以稽核套件弱點嗎？

不可以。它可以建議依賴項衛生管理做法，但弱點掃描需要專用的安全工具。

它會自動安裝 Pixi 嗎？

不會。它提供工作流程指引和範例。安裝應使用可信任且已驗證的方法。

開發者詳細資訊

作者

CodingKaiser

授權

MIT

Skillstore 修訂

版本提示

作者未聲明版本。

儲存庫

https://github.com/CodingKaiser/claude-kaiser-skills/tree/main/pixi

引用

02f077c174c5335e2f5d02ca15e77b70d9543e58

維護新鮮度

2026/7/18

使用量

5 次下載 · 311 次瀏覽

檔案結構

📄 LICENSE

📄 SKILL.md