supply-chain-security

仓库创建 2026年7月1日最近提交 23 天前SkillHot 收录 22 天前

▸ 精选理由

可嵌入代码生成或 CI 的实用防护，显著降低依赖风险。

这个 Skill 做什么

检测拼写相似、依赖混淆与恶意包的供应链安全规则与检查。

在提议或审查依赖包时检测拼写相似（typosquat）、依赖混淆和恶意包，自动把候选包和热门包列表做比对并标记可疑项。用在添加新依赖、更新 package 文件或做安全审查的时候先把供应链风险筛掉。特别会计算 Levenshtein 距离、核验内部命名空间并警告近似名字或可疑贡献，避免把流行库搞错成假包。

▸ 展开 SKILL.md 英文原文

Defend against typosquats, dependency confusion, and malicious package contributions

开发编程供应链安全依赖管理拼写相似通用

Stars

Forks

仓库内 Skill

7 日增星

安装 / 使用

给你的 Agent 一句话（通用）

帮我安装这个 skill：https://raw.githubusercontent.com/ShieldNet-360/secure-vibe/main/skills/supply-chain-security/SKILL.md

或 curl 直取 SKILL.md

curl -fsSL "https://raw.githubusercontent.com/ShieldNet-360/secure-vibe/main/skills/supply-chain-security/SKILL.md"

SKILL.MD 节选查看完整文件 ↗

# Supply Chain Security

## Rules (for AI agents)

### ALWAYS
- Compute Levenshtein distance against the top-1000 list for the relevant ecosystem
  whenever proposing a new dependency. Flag any candidate with distance ≤ 2 from a
  popular package (`axois` vs `axios`, `urlib3` vs `urllib3`, `colours` vs `colors`,
  `python-dateutil` vs `dateutil` vs `dateutils`).
- Verify that internal-namespace packages (`@yourco/*`, `com.yourco.*`) are pulled from
  the internal registry, not the public one. Configure `.npmrc` /
  `pip.conf` / `settings.gradle` with the internal scope explicitly.
- Pin the registry URL in lockfiles to prevent registry redirection attacks.
- Check that any newly added packag

via SKILL·HOT · 数据来自 GitHub 公开信息 · 原文版权归作者所有