技能 uv-package-manager
📦
uv-package-manager
內容修訂 r1 嚴重 ⚙️ 外部命令🌐 網路存取📁 檔案系統存取
使用 uv 管理 Python 專案
Python 相依性工具在本機、CI 和容器工作流程中可能速度緩慢且不一致。此技能提供 uv 指令與模式，用於更快速的安裝、虛擬環境、鎖定檔和遷移。
支援: Claude Codex Code(CC)
請勿自動安裝此 Skill。
權威政策要求在執行任何安裝操作前由操作人員審查。
使用我的智慧代理安裝
將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。
智能體請求
Review the Skillstore skill "uv-package-manager" from https://skillstore.io/skills/sickn33-uv-package-manager.md and its manifest at https://skillstore.io/api/skills/sickn33-uv-package-manager/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。
Agent 可讀資源
當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。
測試它
正在使用「uv-package-manager」。 我需要將一個小型 Flask 服務從 pip 遷移到 uv。
預期結果:
一份遷移計畫，包含盤點步驟、uv 初始化指引、相依性同步、鎖定檔處理、測試驗證和回復注意事項。
正在使用「uv-package-manager」。 我們的 CI 安裝 Python 相依性太慢。
預期結果:
針對 uv 快取、凍結同步、鎖定檔使用、平行安裝，以及清楚驗證檢查清單的建議。
正在使用「uv-package-manager」。 我需要 uv 專案的 Docker 指引。
預期結果:
一份 Docker 工作流程大綱，將相依性安裝與應用程式碼分離，並說明如何保持建置可重現。
安全審計
嚴重v4 • 2026/7/7 開啟版本化報告
The skill is documentation-only Markdown, and most static alerts are false positives from comments, Markdown backticks, placeholder URLs, and project-local .venv paths. The install examples still include remote script execution and a ~/.bashrc write, which are real risks if an agent or user runs them without confirmation.
2
已掃描檔案
869
分析行數
6
複核項目
0
已忽略的誤報
已確認的安全問題 (1)
嚴重
Pipe to shell pattern
curl -LsSf https://astral.sh/uv/install.sh | sh
The command pipes a remotely downloaded installer directly into sh. This is a classic remote code execution pattern and lacks checksum or signature verification in the example.
能力複核項目 (6)
這些是真實的本機能力，對此技能而言可能是預期行為，因此需要複核，但不會按已確認的惡意行為計分。
嚴重
PowerShell invocation
powershell -c "irm https://astral.sh/uv/install.ps1 | iex"
The example runs PowerShell to download an external installer and execute it through iex. If copied or run by an agent, this is remote code execution without integrity verification.
高
Hidden file in home directory
echo 'export PATH="$HOME/.cargo/bin:$PATH"' >> ~/.bashrc
The command appends to ~/.bashrc, which changes future shell startup behavior. Even though it is a PATH fix, modifying a home dotfile should require explicit confirmation.
高
Hidden file access
echo 'export PATH="$HOME/.cargo/bin:$PATH"' >> ~/.bashrc
The command writes to ~/.bashrc, a hidden shell startup file. This is a persistent user-environment change and should not be automated without approval.
低
Hardcoded URL
curl -LsSf https://astral.sh/uv/install.sh | sh
The line fetches an installer from an external URL. The URL is for the uv project, but the network dependency is real and is paired with shell execution.
低
Hardcoded URL
powershell -c "irm https://astral.sh/uv/install.ps1 | iex"
The line fetches a PowerShell installer from an external URL before execution. The URL appears to be a uv install source, but it remains an external network dependency.
低
Hardcoded URL
cargo install --git https://github.com/astral-sh/uv uv
The cargo install example pulls source code from GitHub without a pinned commit. This is a normal install path, but it still relies on external network code.
風險因素
⚙️ 外部命令 (5)
🌐 網路存取 (7)
偵測到的模式
Pipe to shell pattern
審計單位: codex 檢視審計紀錄 →
分享與引用此報告
分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。
複製報告連結
https://skillstore.io/skills/sickn33-uv-package-manager/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/sickn33-uv-package-manager?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/sickn33-uv-package-manager?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-uv-package-manager/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/sickn33-uv-package-manager.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>學術引用 (APA · BibTeX · CFF)
APA 引用
sickn33. (2026). uv-package-manager security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-uv-package-manager/audits/4BibTeX 引用
@techreport{sickn33-sickn33-uv-package-manager-2026,
author = {sickn33},
title = {uv-package-manager security audit report (audit version 4)},
institution = {Skillstore},
year = {2026},
number = {4},
url = {https://skillstore.io/skills/sickn33-uv-package-manager/audits/4},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "uv-package-manager security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
- name: "sickn33"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/sickn33-uv-package-manager/audits/4"
identifiers:
- type: other
value: "skillstore:sickn33-uv-package-manager:audit:4"
description: "Skillstore immutable audit report identifier"
比較變體
3 個可安裝變體每位作者的技能都保留為獨立的可安裝項目。推薦變體依 Skillstore 證據排序。
為何此變體排名第一
近期有維護
作者 / 來源 Skillstore 評分 證據置信度 Skillstore 使用量 已更新
activeinferenceinstitute-uv-package-manager
Skillstore 評分 38
證據置信度 中
Skillstore 使用量 18
已更新
2026-10-21
Skillstore 評分
評分依據 證據置信度: 中 55
架構
85
可維護性
87
內容
69
社群
91
規範符合度
你可以打造什麼
啟動快速的 Python 專案
初始化 uv 專案、釘選 Python、新增執行階段與開發相依性，並透過 uv 執行測試。
加速 CI 建置
使用鎖定檔、凍結安裝、快取重用和 GitHub Actions 模式，讓 Python CI 更具可重現性。
遷移既有專案
從 pip、requirements 檔案、pip-tools 或 Poetry 遷移，同時保留既有專案中繼資料。
試試這些提示
建立新專案
使用 uv package manager skill 規劃新的 Python web API 專案。包含設定步驟、相依性群組和驗證指令。
從 pip 遷移
使用此技能將既有 requirements.txt 專案遷移到 uv。保持工作流程簡單，並說明每個檔案變更。
使用鎖定檔準備 CI
使用 uv skill 設計 GitHub Actions 工作流程，包含凍結安裝、快取、測試和相依性更新。
設計 Monorepo 工作流程
使用 uv skill 為三個 Python 套件提出工作區版面配置，包含共用工具、鎖定檔政策和 Docker 指引。
最佳實務
- 對應用程式提交 uv.lock，並在 CI 中使用凍結安裝。
- 在執行遠端腳本或修改 shell 啟動檔之前，先審查安裝指令。
- 偏好使用 uv run 執行專案指令，讓環境保持一致。
避免
- 未經確認或完整性檢查就將安裝程式腳本透過 pipe 傳給 shell。
- 當專案本機 PATH 變更已足夠時，仍編輯全域 shell 啟動檔。
- 在沒有清楚遷移計畫的情況下混用 pip、Poetry 和 uv 指令。
常見問題
什麼是 uv？
uv 是快速的 Python 套件與專案管理器，可處理相依性、虛擬環境、Python 版本和鎖定檔。
此技能可以協助從 pip 或 Poetry 遷移嗎？
可以。它包含從 requirements 檔案、pip-tools 和 Poetry 遷移到 uv 工作流程的模式。
它支援 CI 和 Docker 工作流程嗎？
支援。它提供 GitHub Actions、鎖定檔安裝、快取和 Docker 建置最佳化的模式。
它會自動執行指令嗎？
不會。它提供指引和範例。使用者或代理必須自行決定哪些指令適合執行。
遠端安裝指令安全嗎？
它們可能有風險，因為會執行下載的程式碼。請先審查來源、優先使用套件管理器，並先取得確認。
它可以排解 uv 錯誤嗎？
可以。它涵蓋常見的 PATH、Python 版本、相依性解析、快取和鎖定檔問題。
開發者詳細資訊
作者
sickn33授權
MIT
Skillstore 修訂
r1
版本提示
作者未聲明版本。
引用
f93e9bb0daca99badb6a7e574b97737155d57cb3
維護新鮮度
2026/7/18
使用量
5 次下載 · 107 次瀏覽
檔案結構