skill-dependency-auditor

「依赖供应链体检」：静态审计技能依赖声明与 import，识别供应链投毒风险面——包括未固定版本、从远程 URL/Git/本地路径安装依赖（装包即执行任意远程代码）、包名 typosquatting 错拼抢注（如 reqeusts/djanago）、以及白名单外的未核验依赖。支持覆盖 requirements.txt、pyproject.toml、setup.py、package.json 文件中的依赖声明，以及 .py 文件中的 import 语句、.sh/.md 文件中的远程安装命令。 优先级划分：P1 = 远程源依赖 / 错拼包（需人工确认），P2 = 未固定版本 / 未核验依赖（提示警告）。 本技能与 skill-scanner、skill-safe-install、skill-secret-scanner 共同构成「上架前安全体检全家桶」。 触发词："依赖审计"、"查 typosquatting"、"供应链扫描"、"依赖安全"、"dependency audit"。

存档时间线

版本索引永久保留；内容副本只保留最新 1 份，更早版本仅留索引与哈希（存档时间线的证据链不会因此断裂）。

下载存档内容副本