技能 npm-release

📦

npm-release

v1.1.0 內容修訂 r2 高風險 📁 檔案系統存取⚙️ 外部命令🌐 網路存取

安全發布 npm Release

手動 npm 發布可能會讓套件版本、變更記錄、標籤與 registry 狀態產生偏差。此技能提供逐步的 cc-devflow 發布工作流程，包含驗證與回復指引。

支援: Claude Codex Code(CC)

Maintain this Skill? Claim it ⚠️ 38 差

安裝前請停止並請求確認。

請審查安裝計畫，並在變更檔案前取得使用者明確同意。

使用我的智慧代理安裝

將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。

智能體請求

Review the Skillstore skill "npm-release" from https://skillstore.io/skills/dimon94-npm-release.md and its manifest at https://skillstore.io/api/skills/dimon94-npm-release/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。

Agent 可讀資源

當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。

Markdown 詳情 GET /skills/dimon94-npm-release.md 已簽名 manifest GET /api/skills/dimon94-npm-release/manifest 已簽名 lockfile GET /api/skills/dimon94-npm-release/lockfile

測試它

正在使用「npm-release」。我需要在 minor feature release 後發布 cc-devflow version 2.5.0。

預期結果:

確認 main branch 乾淨、commit 已推送，以及目前套件版本。
指引 changelog entry、version bump、release commit、annotated tag、dry-run、publish 與驗證。

正在使用「npm-release」。 release 已推送到 git，但 npm publish 失敗。

預期結果:

在重試前區分 local、GitHub 與 npm registry 狀態。
建議 dry-run 檢查，並確認現有 tag 是否仍指向預期的 commit。

正在使用「npm-release」。 Version 2.4.4 已發布，但含有嚴重 bug。

預期結果:

檢查受影響版本是否仍允許 npm unpublish。
規劃 tag 清理、commit revert、bug fix 與新 patch release 步驟。

安全審計

高風險

v9 • 2026/7/23 開啟版本化報告

Most static findings are false positives caused by Markdown formatting, fixed documentation references, authentication checks, and multilingual prose. The workflow does direct agents to run state-changing Git and npm commands, including publishing and destructive rollback, so explicit per-action approval is required. No prompt injection or obfuscated payload was found.

5

已掃描檔案

636

分析行數

6

複核項目

0

已忽略的誤報

已確認的安全問題 (1)

高

SKILL.md:120-128 SKILL.md:136-143

High-impact release actions lack immediate confirmation gates

The workflow groups remote pushes and npm publication into one command block, then provides unpublish and remote tag deletion commands without explicit per-action approval.

The commands and their state-changing effects are explicit, while neither block contains a direct confirmation step immediately before execution.

能力複核項目 (6)

這些是真實的本機能力，對此技能而言可能是預期行為，因此需要複核，但不會按已確認的惡意行為計分。

高

SKILL.md:122-129

Ruby/shell backtick execution

```bash

The block pushes a branch and tag, publishes to npm, and executes the published package with npx. These authenticated network actions have material release and code-execution impact.

高

SKILL.md:138-143

Ruby/shell backtick execution

```bash

The fenced rollback block can unpublish a package, delete a local and remote tag, and revert a commit. These are destructive release operations.

中

Ruby/shell backtick execution

```bash

The fenced block runs npm version, which modifies package.json and package-lock.json. The arguments are constrained, but the command changes release state.

中

Ruby/shell backtick execution

```bash

The block runs a repository npm script and npm pack. Repository scripts and package lifecycle hooks execute local code, so the release source must be trusted.

中

Ruby/shell backtick execution

```bash

The fenced block stages release files and creates a Git commit. These commands intentionally modify repository state, although their file arguments are fixed.

中

SKILL.md:100-111

Ruby/shell backtick execution

```bash

The fenced block creates an annotated Git tag. This changes local release state and must use the user-approved version.

風險因素

📁 檔案系統存取 (8)

PLAYBOOK.md:11 PLAYBOOK.md:21 references/git-commit-guidelines.md:266 references/git-commit-guidelines.md:300 references/git-commit-guidelines.md:394 SKILL.md:11 SKILL.md:19 SKILL.md:37

⚙️ 外部命令 (36)

🌐 網路存取 (1)

審計單位: codex 檢視審計紀錄 →

分享與引用此報告

分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。

開啟版本化報告

安全評估

複製報告連結

https://skillstore.io/skills/dimon94-npm-release/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/dimon94-npm-release/security.svg)](https://skillstore.io/skills/dimon94-npm-release?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/dimon94-npm-release?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/dimon94-npm-release/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/dimon94-npm-release.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

學術引用 (APA · BibTeX · CFF)

APA 引用

Dimon94. (2026). npm-release security audit report (audit version 9) [Author version 1.1.0]. Skillstore. https://skillstore.io/skills/dimon94-npm-release/audits/9

BibTeX 引用

@techreport{dimon94-dimon94-npm-release-2026,
  author = {Dimon94},
  title = {npm-release security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/dimon94-npm-release/audits/9},
  note = {Author version 1.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "npm-release security audit report (audit version 9)"
version: "1.1.0"
type: report
authors:
  - name: "Dimon94"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/dimon94-npm-release/audits/9"
identifiers:
  - type: other
    value: "skillstore:dimon94-npm-release:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore 評分

評分依據證據置信度: 中

41

架構

100

可維護性

87

內容

71

社群

91

規範符合度

你可以打造什麼

準備版本化發布

在發布前同步套件版本、變更記錄、release commit 與 git tag。

透過驗證進行發布

依一致順序執行 dry-run、npm publish 與發布後檢查。

復原錯誤發布

針對 npm unpublish、tag 清理、revert 與 patch 重新發布決策使用回復指引。

試試這些提示

開始發布檢查清單

使用 npm-release skill 引導我完成 cc-devflow 的 patch release。從發布前檢查開始，並在發布前停止。

草擬發布說明

使用 npm-release workflow，根據這些變更為 version X.Y.Z 草擬 changelog entry：[paste changes]。

規劃完整發布

使用 npm-release 規劃從 version A.B.C 到 X.Y.Z 的 minor release。包含版本設定、commit、tag、GitHub release、dry-run、publish 與驗證檢查點。

處理失敗發布

使用 npm-release 處理 version X.Y.Z 的錯誤 npm release。在執行任何指令前，比較 unpublish、tag deletion、revert 與 patch release 選項。

最佳實務

在任何真正的 npm publish 動作前，先執行 dry-run publish 步驟。
確認套件版本、變更記錄版本、git tag 與 registry 版本全部一致。
在推送 tag、發布、unpublish 或變更 remote 前，要求明確的人為核准。

避免

不要在 dirty branch 或錯誤 repository 上使用此工作流程。
當變更記錄、套件版本與 git tag 不一致時，不要發布。
在確認 npm 與 GitHub 狀態前，不要執行回復指令。

常見問題

此 skill 是為哪個 package 設計的？

它是為發布 cc-devflow npm package 而設計。

它會自動執行指令嗎？

它提供指令指引。使用者應核准所有 publishing、pushing、remote changes 與 rollback commands。

它支援 beta 或 pre-release versions 嗎？

不會。此 skill 表示 beta 與 pre-release flows 需要調整。

它可以建立 GitHub release 嗎？

可以。它包含選用的 GitHub CLI release creation 指引。

它會驗證 npm authentication 嗎？

不會。它不檢查 npm login state、ownership、token scope 或 two-factor authentication。

包含哪些 rollback support？

它記錄 npm unpublish timing、tag deletion、commit revert、bug fixes 與 patch re-release。

開發者詳細資訊

作者

授權

MIT

作者版本

v1.1.0

Skillstore 修訂

r2

儲存庫

https://github.com/Dimon94/cc-devflow/tree/main/.claude/skills/npm-release

引用

c43861a65bb95efcae259cd161c9d6f4dc7eec6f

維護新鮮度

2026/7/26

使用量

7 次下載 · 268 次瀏覽

檔案結構

📄 CHANGELOG.md

📄 PLAYBOOK.md

📁 references/

📄 checklist-contract.md

📄 git-commit-guidelines.md

Dimon94 的更多技能

fractal-docs-generator

產生目錄 CLAUDE.md 指南

目錄變更經常使本地文件過時。此 skill 為 Claude、Codex 和 Claude Code 提供一套簡潔模式，用於更新目錄層級的 CLAUDE.md 檔案。

flow-debugging

以根本原因紀律偵錯程式碼

當團隊在了解原因之前就先猜測時，錯誤修復往往會失敗。此技能會引導 Claude、Codex 和 Claude Code 在實作之前，先進行以證據為基礎的偵錯。

程式開發查看

cc-devflow-orchestrator

路由 CC-DevFlow 工作流程

團隊在複雜交付工作中，常花時間選擇下一個 CC-DevFlow 指令。此技能會將專案狀態、階段關卡和使用者意圖對應到正確的 Claude、Codex 或 Claude Code 工作流程。

程式開發查看

flow-brainstorming

在實作前掌握需求

當模糊的請求變成倉促實作時，團隊會浪費時間。這項技能會組織早期腦力激盪、比較選項，並記錄決策以供後續對齊。

devflow-tdd-enforcer

強制執行測試優先的任務完成

當任務檔案由手動編輯時，團隊可能會偏離測試優先的紀律。此技能定義檢查，在相關測試完成前阻止實作完成。

程式開發查看

flow-attention-refresh

在 Flow 任務期間重新整理 AI 焦點

長時間的編碼工作階段可能會讓原始目標離開模型的注意力範圍。此技能會在關鍵工作流程決策前加入重新整理檢查點。

程式開發查看

release-orchestrator

準備發布資料包

由 yaojingang

發布團隊經常將推出步驟、遷移備註、回復觸發條件和利害關係人訊息分散收集在不同地方。此技能會將這些輸入轉換成一份結構化發布資料包，並提供 go/no-go 指引。

DevOps 與基礎設施查看

git-workflow

以團隊標準管理 Git 工作流程

由 Atman36

團隊需要一致的提交、分支與審查習慣，才能讓歷史記錄保持可讀。此技能為 Claude、Codex 和 Claude Code 提供實用的 Git 工作流程檢查清單。

DevOps 與基礎設施查看

create-branch

Create verified Jira issues and branches

由 alvolutionor

Creating a Jira issue and matching repository branches can leave assignment, status, or sprint incomplete. This skill previews the plan, performs only requested writes, and verifies the resulting issue and branches.

DevOps 與基礎設施查看

managing-branches

安全管理 Git 分支

由 1gy

在活躍的儲存庫工作期間，分支狀態可能不清楚。此技能會引導 Claude、Codex 和 Claude Code 進行聚焦的 Git 檢查與分支建立步驟。

DevOps 與基礎設施查看

git-advanced

精通進階 Git 工作流程

由 AutumnsGrove

複雜的 Git 歷史可能很難在不遺失工作的情況下修復。此技能提供 rebase、衝突、bisect、復原和分支管理的引導式工作流程。

程式開發查看

git-commit

建立符合 Conventional Commits 規範的 Git 提交

由 21pounder

手動準備提交可能會漏掉已暫存的變更、訊息風格或敏感檔案。此技能會檢查 git 狀態，並協助建立清楚的 conventional commits。

程式開發查看