dependency-auditor

Dependency Auditor

依存関係を分析、監査、管理する多言語ツールキットです。8 つ以上のエコシステムにわたるマニフェストとロックファイルをスキャンし、脆弱性の検出、ライセンスの分類、肥大化の検出、安全で段階的なアップグレード計画の作成を行います。これにより、依存関係ツリーに潜むセキュリティ、法務、保守のリスクをチームが把握できます。

主な機能

• 脆弱性スキャンと CVE 照合 — Node、Python、Go、Rust、Ruby、Java、PHP、.NET において、直接依存および推移的依存を内蔵の CVE データベースと照合し、CVSS スコアを付与します。
• ライセンスコンプライアンス — 許容型／弱いコピーレフト／強いコピーレフト／プロプライエタリ／不明の区分に分類し、互換性のない組み合わせ（例：GPL の混入）を検出します。
• 古い依存関係と保守状況の検出 — アップデートをパッチ／マイナー／メジャーの重大度で分類し、放棄されたパッケージやサポート終了パッケージにフラグを付けます。
• 依存関係の肥大化分析 — 未使用、重複、または過大なパッケージや、統合の機会を見つけます。
• アップグレードパスの計画 — semver に基づく破壊的変更の予測、リスクマトリックス、優先順位付け、ロールバック戦略を提供します。
• サプライチェーンセキュリティ — プロベナンスの確認、タイポスクワッティング／悪意のあるパッケージの検出、推移的リスクのスコアリングを行います。
• ロックファイル分析 — 決定論的なビルドを実現するため、鮮度、整合性ハッシュ、環境間の一貫性を検証します。

使用する場面

• プロジェクトの依存関係に脆弱性やサプライチェーンリスクがないか監査する場合。
• 配布や M&A のデューデリジェンスの前に、ライセンスコンプライアンスを確認する場合。
• 安全で段階的な依存関係のアップグレードを計画する場合。
• CI/CD に依存関係のセキュリティゲートを追加する場合。
• 未使用または重複する依存関係を整理する場合。

事前に確認すること

監査を実行する前に、以下の入力を確認してください。不明な点や曖昧な点がある場合は、推測せずに質問してください。

• プロジェクトとエコシステム — プロジェクトのパスと、使用するマニフェスト／ロックファイル（スキャナーが解析する入力）
• 監査の焦点 — 脆弱性、ライセンスコンプライアンス、アップグレード計画のいずれか（dep_scanner.py、license_checker.py、upgrade_planner.py のどれを使うかを選択します）
• ポリシーとゲート — ライセンスポリシーの厳格さと失敗と判定する重大度のしきい値（--policy、--fail-on-high、CI の判定を設定します）

停止ルール：出力に最も大きく影響する 2～3 項目だけを尋ねてください。ユーザーが「とりあえず草案を作成して」と言った場合は、そのまま進め、成果物の冒頭に前提を列挙してください。

ツール

ツール	用途	コマンド
dep_scanner.py	8 つ以上のエコシステムにわたるマニフェスト／ロックファイルをスキャンし、CVE と照合してセキュリティレポートを作成します	python scripts/dep_scanner.py /path/to/project --format json --fail-on-high
license_checker.py	依存関係のライセンスをリスク区分別に分類し、プロジェクトのライセンスとの競合を検出します	python scripts/license_checker.py /path/to/project --policy strict --warn-conflicts
upgrade_planner.py	semver の差分を評価し、破壊的変更のリスクを判定して、段階的なアップグレード計画を出力します	python scripts/upgrade_planner.py deps.json --risk-threshold medium --timeline 30

参考資料

タスクに合った参考資料を読み込みます。このファイルは簡潔に保ち、必要に応じて詳細を確認してください。

• references/capabilities-and-best-practices.md — すべての分析機能、スキャナー／アナライザー／プランナーの内部構造、チーム別のユースケース、高度な機能とエンタープライズ機能、推奨スキャン頻度、メトリクス／KPIを詳しく解説しています。機能やアーキテクチャの詳細が必要な場合にお読みください。
• references/tools-integration-and-troubleshooting.md — クイックスタート、CI/CD／定期監査への統合コマンド、各ツールの完全なフラグ／出力リファレンス、トラブルシューティング表、成功基準の目標を掲載しています。ツールの実行、パイプラインへの組み込み、障害の診断を行う場合にお読みください。
• references/vulnerability_assessment_guide.md — 依存関係の脆弱性の評価、優先順位付け、修正方法を解説しています（CVSS、悪用可能性、開示までの期間）。セキュリティ上の指摘事項をトリアージまたは対応する場合にお読みください。
• references/license_compatibility_matrix.md — オープンソース依存関係の組み合わせに関する、包括的なライセンス種別リファレンスと互換性マトリックスです。ライセンスの競合解決や配布方法の決定時にお読みください。
• references/dependency_management_best_practices.md — 依存関係のライフサイクル全体にわたる、戦略、ガバナンス、セキュリティ、運用に関するベストプラクティスです。依存関係のポリシーやチームのワークフローを策定する場合にお読みください。

対象範囲と制限事項

このスキルの対象範囲：

• JavaScript／Node.js、Python、Go、Rust、Ruby、Java、PHP、C#／.NET のエコシステムにおける依存関係マニフェストとロックファイルの解析。
• 重大度スコアリングを用いた、一般的な CVE パターンの組み込み脆弱性データベースとの依存関係の照合。
• ライセンスのリスク層（パーミッシブ、弱いコピーレフト、強いコピーレフト、プロプライエタリ、不明）への分類と競合の検出。
• 破壊的変更の分析、ロールバック手順、所要時間の見積もりを含む、優先順位付けされた段階的なアップグレード計画の生成。

このスキルの対象外：

• 脆弱性データベース（NVD、OSV、GitHub Advisory）へのリアルタイム照会。組み込み DB は代表的なサブセットです。継続的な監視には、skill-security-auditor をご覧ください。
• コンテナーイメージまたは OS レベルのパッケージスキャン。インフラストラクチャの監査には、ci-cd-pipeline-builder または observability-designer をご覧ください。
• 依存関係更新用の PR の自動作成（Dependabot／Renovate 形式）。このスキルが生成するのは計画とレポートであり、コードの変更ではありません。
• 実行時の依存関係分析や動的インポートの追跡。検出は静的なマニフェスト／ロックファイルの解析のみです。

統合ポイント

スキル	統合	データフロー
skill-security-auditor	脆弱性スキャンの結果を、より広範なセキュリティ監査ワークフローに取り込む	dep_scanner.py --format json の出力を証拠アーティファクトとして使用
ci-cd-pipeline-builder	依存関係のゲートを CI/CD パイプラインに組み込む	dep_scanner.py --fail-on-high と license_checker.py --policy strict をパイプラインのステップとして使用
release-manager	依存関係監査レポートをリリースチェックリストに添付する	3 つすべてのツールの JSON レポートをリリースドキュメントに含める
pr-review-expert	プルリクエストのレビュー中に依存関係の変更を検出する	ベースブランチとヘッドブランチの依存関係ファイル間のスキャナー差分
env-secrets-manager	依存関係ツールの認証情報（レジストリトークン）を安全に管理する	レジストリ認証トークンをシークレットマネージャーで保存し、ローテーションする
observability-designer	依存関係の健全性メトリクスを継続的に監視する	スキャンの概要統計を監視ダッシュボードにエクスポートする