deps-audit

仓库创建 2026年2月12日最近提交 5 小时前SkillHot 收录 20 天前

▸ 精选理由

快速识别拼写炸弹、恶意编译时执行与已知 CVE 风险。

▸ 风险提示

会访问 Hex API 与外部扫描工具以获取元数据与漏洞信息。

这个 Skill 做什么

对 Hex 包进行非破坏性的供应链安全审计并汇总问题表。

对 Hex 依赖做非破坏性的供应链安全检测，找出 bidi 字符、编译期执行、维护者变更、拼写山寨和 CVE 等风险。在执行 mix deps.update、审查 mix.lock PR 或决定是否升级包版本时使用。会整合 Hex API 和现有工具产出问题分级表，方便快速决策。

▸ 展开 SKILL.md 英文原文

Audit Hex deps for supply-chain security risk — bidi chars, compile-time exec, maintainer changes, typosquats, CVEs. Use after mix deps.update, when checking if a package upgrade is safe, or reviewing mix.lock PR diffs.

开发编程依赖审计供应链安全Hex通用

505

Stars

Forks

仓库内 Skill

+35

7 日增星

安装 / 使用

给你的 Agent 一句话（通用）

帮我安装这个 skill：https://raw.githubusercontent.com/oliver-kriska/claude-elixir-phoenix/main/plugins/elixir-phoenix/skills/deps-audit/SKILL.md

或 curl 直取 SKILL.md

curl -fsSL "https://raw.githubusercontent.com/oliver-kriska/claude-elixir-phoenix/main/plugins/elixir-phoenix/skills/deps-audit/SKILL.md"

SKILL.MD 节选查看完整文件 ↗

# Hex Dependency Audit

Non-mutating supply-chain audit for Hex packages. Runs an 8-rule MVP catalogue
against changed packages, enriches with Hex API metadata, wraps existing tools
(`mix hex.audit`, `mix_audit`, OSV-Scanner), and emits a triage table.

## When to Use

- After `mix deps.update` or `mix deps.get` brought in new versions
- On PRs that touch `mix.lock` (pre-merge gate)
- Before manually updating a single package (`--preview <pkg>`)
- When investigating a dependency you don't recognize

## Iron Laws

1. **NEVER claim a diff is clean without inspecting it.** Run all 8 rules
   on the unpacked NEW tarball. "Looks fine" without a tool run is a false
   pass. **Always write `.claude

via SKILL·HOT · 数据来自 GitHub 公开信息 · 原文版权归作者所有