Dep audit

dep-audit — 依赖过期检查 + 中文摘要

扫项目的依赖清单,列出哪些包落后于最新版,把原始 outdated 输出整理成中文摘要,给出升级建议——只读,不自动改清单。

何时触发

用户说"检查依赖 / 依赖过期了吗 / dep-audit / 扫依赖 / 有没有过期包 / 依赖健康检查"时触发。

工作流

1. 跑扫描脚本(只读,不升级)

bash <skill>/bin/audit.sh [项目目录]
# 项目目录默认为当前目录
# 例:bash dep-audit/bin/audit.sh /path/to/my-project

脚本自动探测项目里存在哪些清单文件,对每个可用生态跑只读的过期检查,输出原始结果:

清单文件	工具命令	环境变量覆盖
package.json	npm outdated	NPM_CLI
go.mod	go list -m -u all	GO_CLI
pubspec.yaml	flutter pub outdated	FLUTTER_CLI
requirements.txt	pip list --outdated	PIP_CLI

• 工具未安装 → 打印"跳过 <生态>(未装 <tool>)"并继续,不崩退。
• 没有任何清单 → 提示"未发现依赖清单"并退出 0。

2. Claude 整理中文摘要

拿到脚本的原始输出后,按以下结构整理:

## <项目目录> 依赖审计报告

### npm / Go / Flutter / Python(各生态分节)

#### 可安全升级(patch / minor)
- `包名` current → latest — 简短说明(如有已知漏洞请标注)

#### 需谨慎的大版本升级(major)
- `包名` current → latest — 说明破坏性风险或 API 变更要点

#### 已知风险提示
- 若 npm 输出含 `WARN` / `deprecated`,或版本严重落后,在此单列说明

### 升级建议
1. 优先升级有已知安全漏洞的包
2. patch/minor 版本可批量升;major 版本建议阅读 changelog 后单独测试
3. 升级前做好版本快照(lockfile / go.sum)

3. 纯只读原则

• 脚本和 Claude 均不修改任何清单文件(package.json / go.mod / pubspec.yaml / requirements.txt)。
• 不自动执行 npm install / go get / flutter pub upgrade 等升级命令。
• 如用户决定升级,再另行执行;需要帮助时可再开一轮对话。

边界

• 依赖对应工具已安装;未安装则跳过该生态并提示。
• npm outdated 退出码 1 属正常(有过期包时);脚本已处理,不视为失败。
• go list -m -u all 输出需联网(访问 proxy.golang.org);离线环境可能为空。
• 不扫传递依赖的安全漏洞(如需深度安全审计,可配合 npm audit / govulncheck 另跑)。