关于 dependency-audit
dependency-audit 是一项安全 Skill，可使用原生包管理器审计项目的依赖树。它根据锁定文件识别包管理器、按严重程度分类发现项，并提供修复建议及受支持的安全自动修复。
主要功能
- 01根据锁定文件识别包管理器
- 02运行对应生态的审计工具
- 03按严重程度分类发现项
- 04建议修复版本或替代方案
- 05使用 --fix 应用受支持的修复
适用场景
- 01检查项目依赖中的漏洞
- 02确定发现项优先级并规划修复
- 03应用受支持的依赖自动修复
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/dependency-audit确认已加载。
附带文件references/audit-commands.mdreferences/templates/audit-report.md
详细介绍
此技能会在项目的完整依赖树中运行原生包管理器审计工具，通过锁定文件检测包管理器，并运行相应命令：
npm/yarn/pnpm/bun audit、composer audit、pip-audit/safety check、cargo audit、govulncheck、
pod audit 或 bundle audit。
它会解析各工具的输出，按严重性（CRITICAL/HIGH/MEDIUM/LOW）对发现的问题进行分类，
并建议修复版本或替代方案。使用 --fix 标志时，会在支持的情况下应用安全的自动修复
（npm audit fix、cargo audit fix），并为不支持自动修复的生态系统提供手动指导。
范围之外：深入研究某个指定依赖项的 CVE 历史应交由 cve-research 处理。
依赖项审计技能
概述
使用原生包管理器审计工具检查依赖项漏洞。
支持的生态系统
| 生态系统 | 工具 | 自动修复 |
|---|---|---|
| npm/yarn/pnpm/bun | npm audit / yarn audit | 是 |
| PHP/Composer | composer audit | 手动 |
| Python/pip | pip-audit / safety check | 手动 |
| Rust/Cargo | cargo audit | 是 |
| Go | govulncheck ./... | 手动 |
| Swift/CocoaPods | pod audit | 手动 |
| Ruby/Bundler | bundle audit | 手动 |
工作流
- 检测锁定文件中的包管理器
- 运行相应的审计命令
- 解析输出中的漏洞
- 分类严重性（CRITICAL/HIGH/MEDIUM/LOW）
- 建议修复版本或替代方案
自动修复支持
使用 --fix 标志时：
- 对安全更新使用
npm audit fix - 对 Rust 使用
cargo audit fix - 为其他生态系统提供手动指导
参考资料
评论
支持 Markdown