dependency-audit について
dependency-audit は、各パッケージマネージャーの監査ツールでプロジェクトの依存関係を調べるスキルです。ロックファイルからエコシステムを判定し、重要度別に脆弱性を整理します。一部では安全な自動修正も行えます。
主な機能
- 01ロックファイルによる判定
- 027つのエコシステムを監査
- 03重要度別の脆弱性分類
- 04修正バージョンや代替案の提示
- 05安全な自動修正に対応
活用シーン
- 01リリース前の依存関係チェック
- 02複数エコシステムの脆弱性確認
- 03対応環境での安全な依存関係修正
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/dependency-auditを入力して読み込まれたか確認します。
詳細
このスキルは、プロジェクトの依存関係ツリー全体に対してネイティブのパッケージマネージャー監査ツールを実行します。ロックファイルからパッケージマネージャーを検出し、対応するコマンド（npm/yarn/pnpm/bun audit、composer audit、pip-audit/safety check、cargo audit、govulncheck、pod audit、または bundle audit）を実行します。
各ツールの出力を解析し、検出結果を重大度（CRITICAL/HIGH/MEDIUM/LOW）で分類して、修正バージョンまたは代替案を提案します。--fix フラグを指定すると、対応している場合は安全な自動修正（npm audit fix、cargo audit fix）を適用し、自動修正に対応していないエコシステムには手動での対処方法を案内します。
対象外：特定の依存関係のCVE履歴を詳しく調査する場合は、cve-researchを使用してください。
依存関係の監査スキル
概要
ネイティブのパッケージマネージャー監査ツールを使用して、依存関係の脆弱性をチェックします。
対応エコシステム
| エコシステム | ツール | 自動修正 |
|---|---|---|
| npm/yarn/pnpm/bun | npm audit / yarn audit | はい |
| PHP/Composer | composer audit | 手動 |
| Python/pip | pip-audit / safety check | 手動 |
| Rust/Cargo | cargo audit | はい |
| Go | govulncheck ./... | 手動 |
| Swift/CocoaPods | pod audit | 手動 |
| Ruby/Bundler | bundle audit | 手動 |
ワークフロー
- 検出 ロックファイルからパッケージマネージャーを特定します
- 実行 適切な監査コマンドを実行します
- 解析 脆弱性について出力を解析します
- 分類 重大度（CRITICAL/HIGH/MEDIUM/LOW）で分類します
- 提案 修正バージョンまたは代替案を提案します
自動修正への対応
--fix フラグを使用した場合：
- 安全な更新には
npm audit fixを実行します - Rustには
cargo audit fixを実行します - その他のエコシステムには手動での対処方法を案内します
参考資料
コメント
Markdown 対応