Communitygithub.com

YepAPI/skills

Abhängigkeitssicherheit – npm-Audit, Lockfile-Überprüfung, Verhinderung von Supply-Chain-Angriffen.

Was ist skills?

Diese Fähigkeit konzentriert sich auf die Härtung der npm-Abhängigkeitskette in JavaScript/TypeScript-Projekten. Sie stellt klare Regeln für die Durchsetzung von Sicherheits-Audits, die Verifizierung der Lockfile-Integrität und die strengen Versions-Pinning-Richtlinien bereit, um typische Schwachstellen wie Typosquatting und bösartige Postinstall-Skripte zu vermeiden. Entwickler erhalten eine Schritt-für-Schritt-Anleitung zur Integration dieser Prüfungen in CI-Pipelines (GitHub Actions, Dependabot, Snyk) und zur Verwendung von Tools wie `lockfile-lint` und `npm audit`. Die Fähigkeit ist ideal für Teams, die sensible Anwendungen in Node.js-Ökosystemen betreiben und proaktive Sicherheitsmaßnahmen sowie automatisierte Überwachung benötigen. Sie wird durch konkrete YAML- und JSON-Beispiele ergänzt, die in CI-Konfigurationen und `package.json` übernommen werden können.

Funktioniert mit~Claude Code~Codex CLI~Cursor
npx skills add https://github.com/YepAPI/skills/tree/HEAD/skills/dependency-security
Original anzeigen→Alle Skills durchsuchen

In Ihrer bevorzugten KI fragen

Öffnet einen neuen Chat, in dem dieser Agent-Skill bereits geladen ist.

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

Dokumentation

Abhängigkeitssicherheit

Regeln

  • Führen Sie npm audit in CI aus – schlagen Sie den Build bei hohen/kritischen Schwachstellen fehl
  • Verwenden Sie lockfile-lint, um zu überprüfen, dass alle Pakete auf die offizielle npm-Registry auflösen
  • Legen Sie Hauptversionen in package.json fest: verwenden Sie ^ für Nebenversions-Updates, niemals * oder latest
  • Überprüfen Sie neue Abhängigkeiten vor der Installation: prüfen Sie npm-Downloadzahlen, letztes Veröffentlichungsdatum, Anzahl der Maintainer
  • Verwenden Sie npm ls --all, um transitive Abhängigkeiten zu auditieren – Ihre direkten Abhängigkeiten ziehen hunderte weitere nach sich
  • Richten Sie Snyk, Socket.dev oder GitHub Dependabot für Echtzeit-Schwachstellenwarnungen ein
  • Aktualisieren Sie Abhängigkeiten wöchentlich – veraltete Abhängigkeiten häufen bekannte Schwachstellen an
# GitHub Actions – Audit in CI
- name: Abhängigkeiten auditieren
  run: npm audit --audit-level=high

- name: Lockfile-Integrität überprüfen
  run: npx lockfile-lint --path package-lock.json --type npm --allowed-hosts npm --validate-https

// package.json – Hauptversionen festlegen
{
  "dependencies": {
    "next": "^14.0.0",
    "react": "^18.0.0",
    "zod": "^3.0.0"
  }
}

Vermeiden

  • npm install random-package ohne vorherige Überprüfung des Pakets – Typosquatting ist real
  • Ignorieren von npm audit-Warnungen – bekannte Schwachstellen sind der einfachste Angriffsvektor
  • Verwendung von * oder latest als Versionsbereiche – eine kompromittierte Veröffentlichung trifft sofort Ihren Build
  • Ausführen von postinstall-Skripten aus nicht vertrauenswürdigen Paketen ohne Überprüfung
  • Annahme, dass beliebte Pakete sicher sind – selbst event-stream (Millionen Downloads) wurde kompromittiert

Individual skills in this repo

This repo contains 20 individual skills — each has its own dedicated page.

YepAPI/skills

WCAG 2.1 AA — semantic HTML, keyboard navigation, screen readers.

YepAPI/skills

Experiment setup, variant splitting, statistical significance, and feature flag integration.

YepAPI/skills

CRUD generators, data tables, user management, role-based access, and bulk operations.

YepAPI/skills

Monitor what ChatGPT and Gemini say about your brand using YepAPI.

YepAPI/skills

Queue workers with BullMQ/Inngest/Trigger.dev, job retries, dead letter queues, concurrency.

YepAPI/skills

Commander.js, interactive prompts with Clack, spinners, colors, config files, exit codes, and npm publishing.

YepAPI/skills

cmdk integration, Cmd+K trigger, fuzzy search, grouped actions, keyboard navigation, and dynamic action registration.

YepAPI/skills

Content planning with trend and sentiment data from YepAPI.

YepAPI/skills

Content calendar, keyword-driven planning, and content briefs.

YepAPI/skills

Theme switching with CSS variables, system preference detection, next-themes, and persistence.

YepAPI/skills

Threaded comments, @mentions, reactions, moderation queue, optimistic UI, and cursor pagination.

YepAPI/skills

Competitive analysis between domains using YepAPI.

YepAPI/skills

Layout grids, KPI cards, data tables with sorting/filtering, sidebar navigation, and responsive breakpoints.

YepAPI/skills

Data encryption — TLS everywhere, AES-256-GCM for PII, bcrypt passwords, encrypted backups.

YepAPI/skills

Chart patterns with Recharts/Nivo/D3, responsive containers, color scales, and accessibility.

YepAPI/skills

Drizzle schema definition, push vs migrate, type-safe queries, relations, transactions, and prepared statements.

YepAPI/skills

Upload handling, resize/compress, CDN delivery, blur placeholders, and next/image patterns.

YepAPI/skills

Local business and Google Maps research using YepAPI.

YepAPI/skills

Cursor-based pagination, IntersectionObserver, virtualized lists with @tanstack/react-virtual, and scroll position restoration.

YepAPI/skills

Chat UI components, streaming responses with AI SDK, context window management, and RAG patterns.

Verwandte Skills

steipete/sag

ElevenLabs text-to-speech with mac-style say UX.

community

steipete/oracle

Oracle CLI second-model review/debug/refactor/design with selected files, dry-run token checks, API or browser engine.

community

steipete/peekaboo

Capture and automate macOS UI with the Peekaboo CLI.

community

mattpocock/design-an-interface

Generate multiple radically different interface designs for a module using parallel sub-agents. Use when user wants to design an API, explore interface options, compare module shapes, or mentions "design it twice".

community

mattpocock/prototype

Build a throwaway prototype to flesh out a design — a runnable terminal app for state/business-logic questions, or several radically different UI variations toggleable from one route.

community

mattpocock/grill-me

Interview the user relentlessly about a plan or design until reaching shared understanding, resolving each branch of the decision tree. Use when user wants to stress-test a plan, get grilled on their design, or mentions "grill me".

community