Repo Radar
Objectif : avant d'effectuer une tâche conséquente à partir de zéro, vérifier si quelqu'un dans l'open source a déjà construit un outil, un serveur MCP, une compétence ou une bibliothèque qui rend le résultat clairement meilleur ou plus rapide. Utilisez-le uniquement lorsque cela aide ; ne laissez jamais une suggestion faire dérailler une tâche simple.
1. Vérifiez d'abord le catalogue
- Si un bloc
<repo-radar>est dans le contexte, commencez par ces dépôts. - Sinon, cherchez dans le catalogue :
${CLAUDE_PLUGIN_ROOT}/catalog/repos.json(copie plus récente, si présente :~/.claude/repo-radar-catalog.json). Recherchez danskeywords,descriptionetcategoryles termes de la tâche.
2. Recherche en direct lorsque le catalogue n'a rien de bon (tâches conséquentes uniquement)
Effectuez 2 à 4 recherches ciblées, en commençant par les plus récentes et les plus actives. Avec gh :
gh search repos "<termes de la tâche> claude code" --sort updated --limit 15 --json fullName,description,stargazersCount,pushedAt,license,isArchived
gh search repos "<termes de la tâche>" --topic mcp-server --sort stars --limit 15 --json fullName,description,stargazersCount,pushedAt,license
gh search repos "<termes de la tâche>" --topic claude-skills --limit 15 --json fullName,description,stargazersCount,pushedAt
Sans gh, utilisez une recherche web : site:github.com <termes de la tâche> claude code OR mcp OR skill.
Privilégiez : poussé au cours des 90 derniers jours, dispose d'une licence, ratio étoiles/forks réel, README clair, non archivé. Une « pépite cachée » est jeune et en pleine ascension, pas forcément énorme.
3. Vérification de sécurité — toujours, avant d'installer, cloner ou exécuter quoi que ce soit
Lisez, n'exécutez pas. Examinez les fichiers du dépôt avec gh api repos/PROPRIÉTAIRE/DÉPÔT/contents/CHEMIN ou la page web :
- Scripts
package.json(preinstall/postinstall),install.sh/setup.*,hooks/hooks.json,.claude/settings.json,.mcp.json,SKILL.md, et tout script pointé par ceux-ci. - Signaux d'alarme :
curl … | sh,evaldécodé en base64, lecture de~/.ssh/~/.aws/.npmrc/tokens, envoi vers des webhooks/pastebins/tunnels,rm -rf ~,--dangerously-skip-permissions, binaires compilés, texte demandant au modèle de cacher ses actions à l'utilisateur, pics d'étoiles sans presque aucun fork. - Les entrées du catalogue portent
security.risk(faible/moyen) etsecurity.flagsprovenant d'une analyse automatique. Cette analyse est un filtre, pas un audit — effectuez quand même la lecture ci-dessus.
Signalez à l'utilisateur : le dépôt, ce qu'il apporte à cette tâche, le risque et tout indicateur. Puis demandez avant d'installer, d'ajouter un serveur MCP, d'ajouter des hooks ou d'exécuter son code. Épinglez sur un SHA de commit lors de l'installation.
4. Utilisez-le, puis terminez la tâche
Appliquez le dépôt comme indiqué dans son README (après approbation). S'il ne fonctionne pas, abandonnez-le et effectuez la tâche normalement — l'objectif de l'utilisateur prime.
5. Partagez les bonnes découvertes (facultatif)
Si une recherche en direct a trouvé un dépôt vraiment utile qui n'est pas dans le catalogue, proposez à l'utilisateur de le suggérer : /repo-radar:add <url-github> (ouvre un ticket « Suggérer un dépôt » ; le robot l'analyse et l'ajoute).