dependency-audit

依存関係の監査

ステータス: 本番環境対応 最終更新日: 2026-02-03 対象範囲: npm、pnpm、yarn のプロジェクト

---

コマンド

コマンド	目的
/audit-deps	優先順位を付けた調査結果とともに、包括的な依存関係の監査を実行します

クイックスタート

/audit-deps                    # Full audit
/audit-deps --security-only    # Only security vulnerabilities
/audit-deps --outdated         # Only outdated packages
/audit-deps --fix              # Auto-fix compatible updates

---

このスキルで監査する内容

1. セキュリティ脆弱性

npm audit / pnpm audit

• クリティカル（CVSS 9.0-10.0）：リモートコード実行、認証の回避
• 高（CVSS 7.0-8.9）：データ漏えい、権限昇格
• 中程度（CVSS 4.0-6.9）：DoS、情報漏えい
• 低（CVSS 0.1-3.9）：軽微な問題

2. 古くなったパッケージ

npm outdated / pnpm outdated

カテゴリ：

• メジャーアップデート：破壊的変更が発生する可能性があります（変更履歴を確認してください）
• マイナーアップデート：新機能が追加され、後方互換性があります
• パッチアップデート：バグ修正であり、安全に更新できます

3. ライセンスコンプライアンス

以下を確認します：

• 商用プロジェクトでの GPL ライセンス（コピーレフトのリスク）
• 不明または未指定のライセンス
• ライセンスの競合

4. 依存関係の健全性

• 非推奨のパッケージ
• 放棄されたパッケージ（2 年以上更新されていないもの）
• セキュリティ上の問題が未解決のパッケージ

---

出力形式

═══════════════════════════════════════════════
   DEPENDENCY AUDIT REPORT
═══════════════════════════════════════════════

Project: my-app
Package Manager: pnpm
Total Dependencies: 847 (142 direct, 705 transitive)

───────────────────────────────────────────────
   SECURITY
───────────────────────────────────────────────

🔴 CRITICAL (1)
  [email protected]
  └─ CVE-2021-23337: Command injection via template()
  └─ Fix: npm update [email protected]
  └─ Affects: direct dependency

🟠 HIGH (2)
  [email protected]
  └─ CVE-2021-44906: Prototype pollution
  └─ Fix: Transitive via mkdirp, update parent
  └─ Path: mkdirp → minimist

  [email protected]
  └─ CVE-2022-0235: Exposure of sensitive headers
  └─ Fix: npm update [email protected]

🟡 MODERATE (3)
  [details...]

───────────────────────────────────────────────
   OUTDATED PACKAGES
───────────────────────────────────────────────

Major Updates (review breaking changes):
  react           18.2.0  →  19.1.0   (1 major)
  typescript      5.3.0   →  5.8.0    (5 minor)
  drizzle-orm     0.44.0  →  0.50.0   (6 minor)

Minor Updates (safe, new features):
  @types/node     20.11.0 →  20.14.0
  vitest          1.2.0   →  1.6.0

Patch Updates (recommended):
  [15 packages with patch updates]

───────────────────────────────────────────────
   LICENSE CHECK
───────────────────────────────────────────────

✅ All licenses compatible with MIT

Note: 3 packages use ISC (compatible)

───────────────────────────────────────────────
   SUMMARY
───────────────────────────────────────────────

Security Issues:  6 (1 critical, 2 high, 3 moderate)
Outdated:         23 (3 major, 5 minor, 15 patch)
License Issues:   0

Recommended Actions:
1. Fix critical: npm update lodash
2. Fix high: npm audit fix
3. Review major updates before upgrading

═══════════════════════════════════════════════

---

エージェント

dep-auditor エージェントでは、以下を実行できます：

• npm/pnpm の監査 JSON 出力を解析する
• CVE データベースと照合する
• 詳細な修正案を作成する
• 安全な更新を自動適用する（確認が必要です）

---

CI との統合

GitHub Actions

- name: Audit dependencies
  run: npm audit --audit-level=high
  continue-on-error: true

- name: Check for critical vulnerabilities
  run: |
    CRITICAL=$(npm audit --json | jq '.metadata.vulnerabilities.critical')
    if [ "$CRITICAL" -gt 0 ]; then
      echo "Critical vulnerabilities found!"
      exit 1
    fi

Pre-commit フック

#!/bin/sh
npm audit --audit-level=critical || {
  echo "Critical vulnerabilities found. Run 'npm audit fix' or '/audit-deps'"
  exit 1
}

---

パッケージマネージャーのコマンド

タスク	npm	pnpm	yarn
監査	npm audit	pnpm audit	yarn audit
監査 JSON	npm audit --json	pnpm audit --json	yarn audit --json
自動修正	npm audit fix	pnpm audit --fix	yarn audit --fix
強制修正	npm audit fix --force	N/A	N/A
更新確認	npm outdated	pnpm outdated	yarn outdated
依存理由	npm explain <pkg>	pnpm why <pkg>	yarn why <pkg>

---

既知の制限事項

• npm audit fix --force：破壊的変更（メジャーバージョンの更新）が発生する場合があります
• 推移的依存関係：脆弱性を解消するには、親パッケージの更新が必要な場合があります
• 誤検知：一部の勧告は、実際の使用状況には該当しない場合があります
• プライベートレジストリ：監査には認証設定が必要な場合があります

---

関連スキル

• cloudflare-worker-base：Workers プロジェクト向け
• testing-patterns：更新後のテスト実行
• developer-toolbox：修正後の commit-helper 向け

---

バージョン: 1.0.0 最終更新日: 2026-02-03