js-security-audit — скилл для Claude Code: что делает и как установить
Проверяет безопасность JS- и TS-проектов по пяти направлениям: настройки, зависимости, CI/CD, Dependabot и план инцидентов. Находит уязвимости перед релизом или при обновлении библиотек.
npx skills add c0x12c/ai-toolkit --skill js-security-audit -a claude-codeЧто делает js-security-audit
Скилл определяет используемый пакетный менеджер (npm, yarn или pnpm) по локфайлу в корне проекта. Затем инструмент проверяет конфигурацию .npmrc, фиксацию версий зависимостей, отсутствие тега latest в продакшене и использование криптографически стойких генераторов случайных чисел вместо Math.random() в коде аутентификации.
В конвейере CI/CD скилл контролирует запуск npm ci с параметром --ignore-scripts, фиксацию сторонних экшенов GitHub Actions по SHA-хешам и наличие блокирующих проверок безопасности. Отдельно анализируется файл .github/dependabot.yml на предмет группировки обновлений и регламентов реакции на критические оповещения.
Без разрешения на запуск терминальных утилит скилл не сможет проверить дерево зависимостей. Для работы ему требуются права на выполнение команд в Bash: npm audit, yarn why, pnpm audit и lockfile-lint. Отчёт формируется в виде таблицы со статусами Pass или Fail, уровнями Critical, Warning, Info и точными номерами строк для исправления.
Какие задачи решает
- Найти уязвимые пакеты и незафиксированные версии в манифестах зависимостей
- Проверить настройки CI/CD на запуск
npm ciс флагом--ignore-scripts - Закрепить GitHub Actions по SHA-хешам вместо плавающих тегов версий
- Сформировать отчёт об уязвимостях с номерами строк и готовыми вариантами исправлений
Примеры запросов агенту
- Проведи аудит безопасности зависимостей перед релизом
- Проверь package.json и локфайл на уязвимости и плавающие версии
- Оцени безопасность нашего пайплайна CI/CD и конфига Dependabot
Как установить js-security-audit
1Через Skills CLI (Vercel)
npx skills add c0x12c/ai-toolkit --skill js-security-audit -a claude-code2Вручную: положить файлы
~/.claude/skills/js-security-audit/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/js-security-audit/
1Через Skills CLI (Vercel)
npx skills add c0x12c/ai-toolkit --skill js-security-audit -a codex2Вручную: положить файлы
.agents/skills/js-security-audit/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add c0x12c/ai-toolkit --skill js-security-audit -a cursor2Вручную: положить файлы
.cursor/skills/js-security-audit/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install c0x12c/ai-toolkit js-security-audit2Вручную: положить файлы
.github/skills/js-security-audit/SKILL.md1Через Skills CLI (Vercel)
npx skills add c0x12c/ai-toolkit --skill js-security-audit -a gemini-cli2Командой платформы
gemini skills install https://github.com/c0x12c/ai-toolkit --path toolkit/skills/js-security-auditВручную: положить файлы
.devin/skills/js-security-audit/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add c0x12c/ai-toolkit --skill js-security-audit -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Вопросы о js-security-audit
Как установить js-security-audit в Claude Code?
Выполните команду npx skills add c0x12c/ai-toolkit --skill js-security-audit -a claude-code.
Что проверяет скилл js-security-audit?
Он сканирует проект по пяти блокам: конфигурация репозитория, чистота дерева зависимостей, безопасность CI/CD, правила Dependabot и готовность к инцидентам. Результат выдаётся в виде сводной таблицы со статусами Pass или Fail.
Какие доступы нужны скиллу для полноценной работы?
Скиллу требуется доступ к инструменту Bash для вызова утилит npm audit, pnpm audit, yarn outdated и lockfile-lint. Вызовы можно заранее добавить в список разрешений permissions.allow файла settings.json.
