用途
Dependency Audit 用于在风险暴露之前发现项目中的高风险依赖。它不需要注册，纯 Claude Code 运行，优先使用项目自身的包管理器进行审计，否则直接分析清单文件。
主要能力
该技能通过清单文件检测生态系统：package.json / lockfile 对应 npm/pnpm/yarn；requirements.txt / pyproject.toml 对应 pip；go.mod 对应 Go；Cargo.toml 对应 Rust；Gemfile 对应 Ruby。
如果工具链已安装，它会运行原生审计器并解析结果：npm audit --json、pip-audit -f json、go list -m -u all、cargo audit。如果未安装，则回退到直接检查清单文件。
它按以下风险类别标记每个依赖：
- 已知漏洞：由原生审计器报告（CVE/安全公告）。
- 未固定版本：使用 *、latest 或无锁条目，导致构建不可复现。
- 宽泛范围：对 0.x 包使用 ^/~（任何次要版本都可能破坏兼容性）。
- 严重过时：落后当前版本多个主版本。
- 被废弃：长时间无发布或上游已归档。
- 体积过大/重复：庞大的传递依赖树或同一库存在两个版本。
然后按严重程度排序（漏洞优先），并给出具体的升级或替换操作。
使用方式
触发方式包括：
- "Audit my dependencies"
- "Any risky packages in this repo?"
- "Check for outdated / vulnerable deps"
输出示例格式：
Dependency Audit — package.json (+ lockfile)
3 vulnerable, 2 unpinned, 1 abandoned
Vulnerabilities
lodash@4.17.11— prototype pollution (high). Bump to ≥ 4.17.21.axios@0.21.0— SSRF (moderate). Bump to ≥ 1.6.0 (note: v1 has breaking changes).
Hygiene
left-pad: "*"— unpinned; pin to an exact version.request@2.88— package is deprecated/abandoned; migrate toundiciorfetch.moment@2.29— large + in maintenance mode; considerdate-fns/Temporal.
Suggested commands
npm i lodash@^4.17.21 axios@^1.6.0 npm rm request
适用场景
适用于需要快速评估项目依赖风险、检查过时或存在漏洞的依赖、以及希望获得具体升级或替换建议的开发场景。
限制
该技能依赖项目清单文件和可用的包管理器工具链。如果工具链未安装，则只能基于清单文件进行推理，可能无法获取完整的漏洞数据库信息。关于收费、价格、平台支持等具体信息暂未提供。