dependency-audit

このスキルは、プロジェクトの依存関係ツリー全体に対してネイティブのパッケージマネージャー監査ツールを実行します。ロックファイルからパッケージマネージャーを検出し、対応するコマンド（npm/yarn/pnpm/bun audit、composer audit、pip-audit/safety check、cargo audit、govulncheck、pod audit、または bundle audit）を実行します。

各ツールの出力を解析し、検出結果を重大度（CRITICAL/HIGH/MEDIUM/LOW）で分類して、修正バージョンまたは代替案を提案します。--fix フラグを指定すると、対応している場合は安全な自動修正（npm audit fix、cargo audit fix）を適用し、自動修正に対応していないエコシステムには手動での対処方法を案内します。

対象外：特定の依存関係のCVE履歴を詳しく調査する場合は、cve-researchを使用してください。

依存関係の監査スキル

概要

ネイティブのパッケージマネージャー監査ツールを使用して、依存関係の脆弱性をチェックします。

対応エコシステム

エコシステム	ツール	自動修正
npm/yarn/pnpm/bun	npm audit / yarn audit	はい
PHP/Composer	composer audit	手動
Python/pip	pip-audit / safety check	手動
Rust/Cargo	cargo audit	はい
Go	govulncheck ./...	手動
Swift/CocoaPods	pod audit	手動
Ruby/Bundler	bundle audit	手動

ワークフロー

1. 検出 ロックファイルからパッケージマネージャーを特定します
2. 実行 適切な監査コマンドを実行します
3. 解析 脆弱性について出力を解析します
4. 分類 重大度（CRITICAL/HIGH/MEDIUM/LOW）で分類します
5. 提案 修正バージョンまたは代替案を提案します

自動修正への対応

--fix フラグを使用した場合：

• 安全な更新には npm audit fix を実行します
• Rustには cargo audit fix を実行します
• その他のエコシステムには手動での対処方法を案内します

参考資料

• 監査コマンド
• レポートテンプレート