关于 dependency-audit
dependency-audit 技能使用原生包管理器工具检查项目依赖树。它根据锁文件识别生态，按严重程度整理漏洞，并在部分生态中支持安全自动修复。
主要功能
- 01根据锁文件识别包管理器
- 02覆盖七种生态的审计
- 03按严重程度分类漏洞
- 04提供修复版本或替代方案
- 05支持可选的安全自动修复
适用场景
- 01发布前检查项目依赖
- 02跨生态审查依赖漏洞
- 03应用受支持的安全依赖修复
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/dependency-audit确认已加载。
详细介绍
此技能会在项目的完整依赖树中运行原生包管理器审计工具，通过锁定文件检测包管理器，并运行相应命令：
npm/yarn/pnpm/bun audit、composer audit、pip-audit/safety check、cargo audit、govulncheck、
pod audit 或 bundle audit。
它会解析各工具的输出，按严重性（CRITICAL/HIGH/MEDIUM/LOW）对发现的问题进行分类，
并建议修复版本或替代方案。使用 --fix 标志时，会在支持的情况下应用安全的自动修复
（npm audit fix、cargo audit fix），并为不支持自动修复的生态系统提供手动指导。
范围之外：深入研究某个指定依赖项的 CVE 历史应交由 cve-research 处理。
依赖项审计技能
概述
使用原生包管理器审计工具检查依赖项漏洞。
支持的生态系统
| 生态系统 | 工具 | 自动修复 |
|---|---|---|
| npm/yarn/pnpm/bun | npm audit / yarn audit | 是 |
| PHP/Composer | composer audit | 手动 |
| Python/pip | pip-audit / safety check | 手动 |
| Rust/Cargo | cargo audit | 是 |
| Go | govulncheck ./... | 手动 |
| Swift/CocoaPods | pod audit | 手动 |
| Ruby/Bundler | bundle audit | 手动 |
工作流
- 检测锁定文件中的包管理器
- 运行相应的审计命令
- 解析输出中的漏洞
- 分类严重性（CRITICAL/HIGH/MEDIUM/LOW）
- 建议修复版本或替代方案
自动修复支持
使用 --fix 标志时：
- 对安全更新使用
npm audit fix - 对 Rust 使用
cargo audit fix - 为其他生态系统提供手动指导
参考资料
评论
支持 Markdown