dep-auditor
审计 Node.js、Python、Go、Rust、JVM、Ruby 项目的依赖漏洞、版本健康度与许可证事实；当用户要求检查 package.json、lockfile、requirements、go.mod、Cargo.toml、pom.xml、Gemfile.lock，或生成不改依赖的中文审计报告时使用
npx skills add laolaoshiren/claude-code-skills-zh --skill dep-auditor --agent claude-code
Same command for any agent — swap --agent for codex, cursor, copilot.
Weekly change comes from our own snapshots, not the repository page — it measures attention, not adoption.
# 依赖安全审计 ## 核心原则 - 默认只读。用户只要求“检查、审计、报告”时，不修改 manifest、lockfile、源码、CI 或外部服务。 - 以实际解析版本和可追溯 advisory 为证据。不要凭包名、版本年龄或记忆猜测 CVE、修复版本、可达性与许可证。 - 优先使用项目锁定的包管理器和已有审计命令。不要为完成审计而裸跑 `npx`，也不要擅自执行 `pip install`、`go install`、`cargo install` 等下载命令。 - 把“发现问题”“建议修复”“执行修改”分开。任何会改依赖或 lockfile 的动作都需要用户明确授权。 - 许可证部分只陈述事实、适用场景和待确认事项，不作法律结论。 ## 工作流程 ### 1. 确认范围与授权 - 确认目标目录、生态、工作区范围和生产 / 开发依赖是否都要检查。 - 说明将运行的命令、是否访问网络、可能向 registry 或漏洞服务发送哪些包元数据。 - 先检查工作树和现有改动。不要覆盖、回退或混入用户未提交的修改。 - 若缺少锁文件、工具或网络，继续完成可验证部分，并把覆盖缺口写入报告；不要用推测填空。 ### 2. 建立依赖清单 - 查找 manifest 与 lockfile：`package.json`、`package-lock.json`、`pnpm-lock.yaml`、`yarn.lock`、`requirements*.txt`、`Pipfile.lock`、`poetry.lock`、`uv.lock`、`go.mod`、`go.sum`、`Cargo.toml`、`Cargo.lock`、`pom.xml`、Gradle 文件和 `Gemfile.lock`。 - 用 lockfile 或包管理器解析结果确定实际版本；manifest 中的范围不能证明最终安装版本。 - 从 `packageManager`、锁文件、wrapper、CI 和项目文档确认包管理器及版本。存在多个互相冲突的锁文件时，先报告歧义。 - 标记直接 / 传递依赖、生产 / 开发范围与 workspace 归属。无法确定时写“未知”。 ### 3. 选择只读检查 只运行与项目实际生态匹配、当前环境已可用的命令： | 生态 | 首选证据 | 只读命令示例 | |------|----------|--------------| | npm | `package-lock.json`、项目 npm 版本 | `npm audit --json`、`npm outdated --json` | | pnpm | `pnpm-lock.yaml`、项目 pnpm 版本 | `pnpm audit --json`、`pnpm outdated --format json` | | Yar
- 核心原则
- 工作流程
- 1. 确认范围与授权
- 2. 建立依赖清单
- 3. 选择只读检查
- 4. 核验漏洞证据
- 5. 核验版本与许可证
- 6. 输出中文报告
- 7. 在明确授权后修复
- 安全边界
What does the dep-auditor skill do?
审计 Node.js、Python、Go、Rust、JVM、Ruby 项目的依赖漏洞、版本健康度与许可证事实；当用户要求检查 package.json、lockfile、requirements、go.mod、Cargo.toml、pom.xml、Gemfile.lock，或生成不改依赖的中文审计报告时使用
How do I install it?
Run `npx skills add laolaoshiren/claude-code-skills-zh --skill dep-auditor --agent claude-code` — it drops the skill into your project so the agent can pick it up. Swap the --agent value for codex, cursor or copilot if you use one of those.
Where does this skill come from?
From laolaoshiren/claude-code-skills-zh, a repository with 725 stars. We read it straight from the repository tree rather than a submitted listing, so what you see here is what is actually published.
Is a popular skill a good skill?
Not necessarily. Stars measure attention, not adoption — a repository can trend for a week and be abandoned. That is why we show the weekly change from our own snapshots next to the total, instead of a single flattering number.