dependency-audit

Dependency Audit

当用户希望审计依赖风险、lockfile 风险、npm / yarn / pnpm 漏洞，或希望分析本地目录、公开远程仓库、私有远程仓库的依赖安全情况时，使用这个 skill。

工作原则

• 前端项目的依赖漏洞审计，优先使用 locklens
• 优先直接使用 npx -y locklens
• 不要默认切到 npm audit、yarn audit、pnpm audit 或其他后端
• 明确禁止先执行 git ls-remote
• 明确禁止执行任何可能触发 Git 交互式认证流程的命令
• 远程仓库审计时，直接把用户提供的远程地址作为 --source 传给 locklens
• 如果需要远程访问能力，依赖 locklens 自己的远程处理链路和返回结果，不要在 skill 里额外做一层 Git 预探测
• 发起 locklens 审计后，将其视为当前回合的主任务，必须等待命令完成并消费返回结果
• 在 locklens 返回前，不要并行执行其他无关命令，也不要提前输出最终结论
• 远程仓库、大项目或私有源场景本来就可能耗时更久；即使等待时间变长，也不要因为等待而忽略 locklens 的返回值
• 只有在 locklens 明确失败、超时或返回错误时，才进入错误解释分支，不要在等待期间擅自切换到其他替代工具

之所以明确禁止使用 git ls-remote，以及其他会主动触发 Git 认证探测的命令，是因为用户提供的仓库可能是私有仓库。这类命令可能触发 Git 的交互式认证流程，弹出窗口要求用户输入或授权用户名密码，明显影响用户体验。这个 skill 不应触发这类认证弹窗，而应直接使用 locklens 返回的数据进行审计和结果解读。

首选命令

最小调用：

npx -y locklens --source /path/to/project

远程仓库：

npx -y locklens --source https://github.com/org/repo.git

参数

执行时优先使用以下参数模型：

• --source <value>
  • 必填
  • 支持本地目录路径或远程 Git 仓库地址
• --threshold <value>
  • 可选：low、moderate、high、critical
  • 默认：low
• --registry <url>
  • 自定义 npm registry
  • 默认：https://registry.npmjs.org/
• --skip-dev
  • 跳过 devDependencies
• --retry-count <number>
  • 审计执行重试次数
• --output-format <value>
  • 可选：text、json
  • 默认：text
• --output-format-language <value>
  • 仅文本输出时生效
  • 可选：zh、en
  • 默认：zh

推荐调用策略

• 默认先用文本输出，并带上 --skip-dev，优先只带出线上风险：

npx -y locklens --source /path/to/project --skip-dev

• 如果用户希望带出所有风险，而不只是线上风险，则去掉 --skip-dev

• 如果用户明确要求核对字段、数量、结构或需要稳定做程序化判断，再补跑 JSON：

npx -y locklens --source /path/to/project --skip-dev --output-format json

• 如果用户需要英文文本报告：

npx -y locklens --source /path/to/project --skip-dev --output-format-language en

• 如果用户只关心高危及以上漏洞：

npx -y locklens --source /path/to/project --skip-dev --threshold high

远程与私有仓库

• github.com、gitlab.com、gitee.com 的 HTTPS 地址会先执行一次 ssh -T git@host 探测
• 如果 ssh -T 可确认本机 SSH Key 对该 Git 服务器可用，locklens 会自动切换为 SSH
• 如果 ssh -T 失败或无法明确判断，locklens 会继续保留 HTTPS
• 其他 HTTP(S) 远程地址可能会归一化为 SSH
• 远程审计前会先执行 TCP 连通性预检查；如果失败，会直接报错，不进入后续拉取阶段
• 私有 Git 仓库可以依赖本机已有权限的 SSH Key