技能 dependency-sync
📦
dependency-sync
內容修訂 r1 高風險 ⚡ 包含腳本⚙️ 外部命令🌐 網路存取📁 檔案系統存取🔑 環境變數
自動同步專案依賴項
新增匯入項目時，如果清單未更新，通常會導致建置失敗。此技能會偵測新增的匯入項目，並協助安裝或記錄對應的套件。
支援: Claude Codex Code(CC)
安裝前請停止並請求確認。
請審查安裝計畫，並在變更檔案前取得使用者明確同意。
使用我的智慧代理安裝
將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。
智能體請求
Review the Skillstore skill "dependency-sync" from https://skillstore.io/skills/consiliency-dependency-sync.md and its manifest at https://skillstore.io/api/skills/consiliency-dependency-sync/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。
Agent 可讀資源
當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。
測試它
正在使用「dependency-sync」。 我新增了 FastAPI 路由和非同步資料庫測試。
預期結果:
- 偵測到 fastapi 是正式環境依賴項。
- 偵測到 pytest-asyncio 是開發環境依賴項。
- 建議核准後更新 pyproject.toml。
正在使用「dependency-sync」。 我在 TypeScript 功能中新增了 React Query。
預期結果:
此技能會將匯入項目對應到 scoped npm 套件，將其分類為正式環境依賴項，並準備套件清單更新。
正在使用「dependency-sync」。 我只重構了已宣告其匯入項目的檔案。
預期結果:
此技能會回報所有匯入項目都已存在，不需要更新清單。
安全審計
高風險v9 • 2026/7/13 開啟版本化報告
Most static detections are Markdown syntax, built-in module lists, or mapping examples and are false positives. Eight findings are confirmed because the skill directs agents to run package-manager commands with inferred package names. Default automatic installation and commit settings create supply-chain and repository-integrity risks.
4
已掃描檔案
824
分析行數
8
複核項目
0
已忽略的誤報
已確認的安全問題 (2)
高
Automatic Installation of Inferred Packages
Automatic installation is enabled while confirmation is disabled. Inferred names can select malicious or mistaken registry packages and execute installation code before review.
The defaults and mandatory workflow directly require installation, while the Python fallback assumes unknown import names equal registry package names.
中
Automatic Repository Commits Enabled
The default enables committing manifest changes without a required user review gate. This can place incorrect dependency changes into repository history.
The COMMIT_CHANGES setting is explicitly true, although the provided files do not contain the implementation that performs the commit.
能力複核項目 (8)
這些是真實的本機能力，對此技能而言可能是預期行為，因此需要複核，但不會按已確認的惡意行為計分。
高
Ruby/shell backtick execution
```bash
This block explicitly instructs the agent to execute package-manager commands for inferred packages. Automatic installation can fetch untrusted code and run installation hooks.
中
Ruby/shell backtick execution
| `pyproject.toml` (with uv) | uv | `uv add <package>` |
The workflow selects this uv command for automatic execution with inferred package names. It can download and install unreviewed Python packages without confirmation.
中
Ruby/shell backtick execution
| `pyproject.toml` (poetry) | poetry | `poetry add <package>` |
The workflow selects this Poetry command for automatic execution with inferred package names. It can resolve and install unreviewed Python packages without confirmation.
中
Ruby/shell backtick execution
| `requirements.txt` | pip | `pip install <package>` |
The workflow selects pip install for inferred package names. Python package installation can run untrusted build code before the user reviews the dependency.
中
Ruby/shell backtick execution
| `package.json` | npm/yarn/pnpm | `npm install <package>` |
The workflow selects npm install for inferred package names. Installation can run package lifecycle scripts and modify manifests without prior user confirmation.
中
Ruby/shell backtick execution
| `Cargo.toml` | cargo | `cargo add <package>` |
The workflow selects cargo add for inferred crate names. This introduces an unreviewed dependency and changes the project manifest and lockfile.
中
Ruby/shell backtick execution
| `go.mod` | go | `go get <package>` |
The workflow selects go get for inferred module names. This downloads unreviewed modules and changes go.mod and go.sum.
中
Ruby/shell backtick execution
| `pubspec.yaml` | pub | `flutter pub add <package>` |
The workflow selects flutter pub add for inferred package names. This downloads an unreviewed dependency and changes the project manifest and lockfile.
風險因素
⚙️ 外部命令 (42)
cookbook/node-imports.md:11 cookbook/node-imports.md:143-157 SKILL.md:47-52 SKILL.md:52-60 SKILL.md:60 SKILL.md:61 SKILL.md:62-63 SKILL.md:63 SKILL.md:71 SKILL.md:72 SKILL.md:73 SKILL.md:74 SKILL.md:75 SKILL.md:76 SKILL.md:77 SKILL.md:82 SKILL.md:90-102 SKILL.md:102-107 SKILL.md:107-108 SKILL.md:108-114 SKILL.md:114-119 SKILL.md:119-124 SKILL.md:124-133 SKILL.md:133 SKILL.md:134 SKILL.md:135 SKILL.md:136 SKILL.md:137 SKILL.md:138 SKILL.md:139 SKILL.md:145 SKILL.md:146 SKILL.md:147-148 SKILL.md:148 SKILL.md:155-159 SKILL.md:159-163 SKILL.md:163-164 SKILL.md:164-166 SKILL.md:166-172 SKILL.md:172-183 SKILL.md:183-187 SKILL.md:187-195
🌐 網路存取 (1)
🔑 環境變數 (1)
審計單位: codex 檢視審計紀錄 →
分享與引用此報告
分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。
複製報告連結
https://skillstore.io/skills/consiliency-dependency-sync/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/consiliency-dependency-sync?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/consiliency-dependency-sync?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/consiliency-dependency-sync/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/consiliency-dependency-sync.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>學術引用 (APA · BibTeX · CFF)
APA 引用
Consiliency. (2026). dependency-sync security audit report (audit version 9) [Author version unspecified]. Skillstore. https://skillstore.io/skills/consiliency-dependency-sync/audits/9BibTeX 引用
@techreport{consiliency-consiliency-dependency-sync-2026,
author = {Consiliency},
title = {dependency-sync security audit report (audit version 9)},
institution = {Skillstore},
year = {2026},
number = {9},
url = {https://skillstore.io/skills/consiliency-dependency-sync/audits/9},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dependency-sync security audit report (audit version 9)"
version: "unspecified"
type: report
authors:
- name: "Consiliency"
date-released: "2026-07-13"
url: "https://skillstore.io/skills/consiliency-dependency-sync/audits/9"
identifiers:
- type: other
value: "skillstore:consiliency-dependency-sync:audit:9"
description: "Skillstore immutable audit report identifier"
Skillstore 評分
評分依據 證據置信度: 中 55
架構
85
可維護性
87
內容
70
社群
83
規範符合度
你可以打造什麼
保持後端清單為最新狀態
在 API 工作後偵測新的 Python 匯入項目，並以正確的依賴項群組更新 pyproject.toml 或 requirements.txt。
功能完成後更新前端套件
將新的 React 或 TypeScript 匯入項目對應到 npm 套件名稱，並將工具套件放入 devDependencies。
正確新增測試依賴項
識別僅供測試使用的匯入項目，並將框架、fixture 和型別套件分類為開發依賴項。
試試這些提示
同步缺少的匯入項目
檢閱我變更的檔案，識別新的匯入項目，並更新正確的依賴項清單。安裝任何套件前先詢問我。
分類依賴項類型
檢查每個新的依賴項應屬於正式環境還是開發環境依賴項。進行變更前先說明放置位置。
稽核多語言變更
掃描我的 Python、Node.js、Go 和 Rust 變更，尋找新的匯入項目。針對每個清單使用對應的套件管理器。
安裝前先規劃
產生 dry-run 計畫，將匯入項目對應到套件、顯示精確命令、標示供應鏈風險，並等待核准。
最佳實務
- 以 dry-run 模式執行，或在安裝套件前要求核准。
- 檢閱解析出的套件名稱，以防 typosquatting 和 dependency confusion 風險。
- 變更後執行測試，並檢查清單與 lockfile 的 diff。
避免
- 不要從不受信任程式碼中未經審查的匯入項目自動安裝套件。
- 不要假設匯入名稱一定會符合登錄檔中的套件名稱。
- 不要在人工檢閱 diff 前提交清單或 lockfile 變更。
常見問題
此技能會自動安裝依賴項嗎？
它設計用於安裝缺少的依賴項，但敏感儲存庫應在安裝前要求核准。
它涵蓋哪些生態系？
它透過常見清單檔案涵蓋 Python、Node.js、Rust、Go 和 Flutter 工作流程。
它可以區分正式環境和開發環境依賴項嗎？
可以。它會使用檔案路徑、已知套件模式和 cookbook 規則來分類依賴項類型。
它會驗證套件安全性嗎？
它可以檢查名稱和清單，但無法取代對第三方套件的安全審查。
它可以在新增程式庫後更新文件嗎？
可以。新增依賴項時，它可以觸發文件稽核步驟。
它執行後我應該檢閱什麼？
檢閱解析出的套件名稱、清單變更、lockfile 變更和測試結果。
開發者詳細資訊
作者
Consiliency授權
MIT
Skillstore 修訂
r1
版本提示
作者未聲明版本。
引用
635f69fb8d2f4e6330ba47a4e5a0fb239c04d110
維護新鮮度
2026/7/18
使用量
7 次下載 · 195 次瀏覽