第三方依赖与许可风险检查

原名：dependency-auditor

盘点依赖、传递关系和许可，结合当前公告整理升级与复查项。

中文 Skills 技能说明

上线前想知道引入了哪些包，可先检查锁文件和依赖清单。提供获准仓库、语言生态、版本约束和许可要求，技能用包内 Python 工具整理依赖、传递关系、潜在漏洞与许可冲突，输出升级候选及验证计划。离线分析不代表漏洞公告已刷新，扫描结果也不是安全或法律认证；许可证判断要核对具体版本和实际使用方式。外部查询须控制上传字段，不能泄露私有包名或密钥；安装、升级和发布前先测试并获老板批准。

上游能力依据

上游原始适用说明：Audit and manage dependencies across multi-language projects. Identifies vulnerabilities, license conflicts, transitive dependency risks, and safe-upgrade paths. Use when auditing third-party packages before release, investigating a CVE, planning a major version bump, or running a license-compliance review. Examples: 'audit our npm dependencies', 'do we have GPL contamination', 'plan the upgrade to React 19'.

上游 SKILL.md 主要章节（保留原文标题）：

• Quick Start
• Supported Ecosystems
• License Classification
• Upgrade Risk Matrix
• Scripts (accurate capability claims)
• CI Integration
• Best Practices

使用边界

先确认授权范围、资产边界和证据来源。输出用于防御性检查与人工决策，不自动执行攻击、绕过或破坏性操作。

作者、翻译与许可证

原作者

Alireza Rezvani 与 claude-skills contributors

中文翻译

CEOFans翻译

许可证

MIT

上游来源

https://github.com/alirezarezvani/claude-skills/tree/19392f7a08264ed00486a251f5b2098321771f94/engineering/skills/dependency-auditor

适用范围

平台：linux、macos、windows；标签：安全与合规、第三方依赖与许可风险检查、开源技能

安全提示

基础静态扫描不等于绝对安全。技能可能调用命令、浏览器、云服务或本地文件，请在最小权限环境中使用，高风险操作必须人工确认。

如发现侵权、许可证或安全问题，可在本页前台提交投诉，管理员复核后可立即下架。