npm-security-best-practices — скилл Claude Code: защита и установка
Помогает защищать npm-зависимости от атак на цепочку поставок и настраивать безопасную установку пакетов. Пригодится для Node.js-проектов.
npx skills add reason-machines/security-skills --skill npm-security-best-practices -a claude-codeЧто делает npm-security-best-practices
Скилл разбирает защиту npm-пакетов, настройки менеджеров зависимостей и меры против атак на цепочку поставок. Он помогает отключить lifecycle-скрипты, запретить git-зависимости, проверять возраст релиза и ограничивать запуск скриптов только доверенными пакетами.
Материалы охватывают npm, pnpm и Bun, а также npx, @lavamoat/allow-scripts, npq, Socket Firewall и Snyk. Есть примеры для .npmrc, pnpm-workspace.yaml, package.json, lock-файлов, Renovate и Dependabot. Для части проверок нужны установленные CLI-инструменты и авторизация в Snyk.
Позиция: отключение скриптов по умолчанию может сломать пакеты, которым нужен build-скрипт, поэтому список разрешений стоит проверить до установки.
Какие задачи решает
- защитить установку npm-зависимостей
- запретить lifecycle-скрипты и git-зависимости
- проверить пакет до добавления в проект
- настроить задержку для свежих релизов
- контролировать изменения lock-файлов
Примеры запросов агенту
- Проверь настройки npm в проекте и предложи безопасный
.npmrcс отключёнными скриптами и запретом git-зависимостей. - Разбери, как безопасно установить пакет через
npm,pnpmиnpx, учитывая риски цепочки поставок. - Настрой для проекта проверку lock-файла и выборочную авторизацию build-скриптов через
@lavamoat/allow-scripts.
Как установить npm-security-best-practices
1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill npm-security-best-practices -a claude-code2Вручную: положить файлы
~/.claude/skills/npm-security-best-practices/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/npm-security-best-practices/
1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill npm-security-best-practices -a codex2Вручную: положить файлы
.agents/skills/npm-security-best-practices/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill npm-security-best-practices -a cursor2Вручную: положить файлы
.cursor/skills/npm-security-best-practices/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install reason-machines/security-skills npm-security-best-practices2Вручную: положить файлы
.github/skills/npm-security-best-practices/SKILL.md1Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill npm-security-best-practices -a gemini-cli2Командой платформы
gemini skills install https://github.com/reason-machines/security-skills --path skills/npm-security-best-practicesВручную: положить файлы
.devin/skills/npm-security-best-practices/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add reason-machines/security-skills --skill npm-security-best-practices -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Вопросы о npm-security-best-practices
Как установить npm-security-best-practices в Claude Code?
Выполните npx skills add reason-machines/security-skills --skill npm-security-best-practices -a claude-code, затем повторите эту команду: npx skills add reason-machines/security-skills --skill npm-security-best-practices -a claude-code. Файл скилла находится по пути ~/.claude/skills/npm-security-best-practices/SKILL.md.
Что делает npm-security-best-practices?
Скилл подсказывает, как укрепить настройки npm, pnpm и Bun, снизить риск атак на цепочку поставок и контролировать запуск скриптов зависимостей. Он также показывает проверки через npq, Socket Firewall и Snyk.
Что нужно учитывать при отключении скриптов установки?
Параметр ignore-scripts=true блокирует lifecycle-скрипты. Пакеты вроде esbuild могут требовать явного разрешения через allowBuilds или trustedDependencies, поэтому эти исключения нужно проверить отдельно.
