# npm-security-best-practices

Помогает защищать npm-зависимости от атак на цепочку поставок и настраивать безопасную установку пакетов. Пригодится для Node.js-проектов.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 919 установок · ★ 12
- Автор: reason-machines
- Лицензия: LicenseRef-Unknown · policy=link-only · показываем только описание, файл — у автора
- Исходник: https://github.com/reason-machines/security-skills/tree/HEAD/skills/npm-security-best-practices/SKILL.md
- Обновлён: 2026-10-09
- HTML: https://affpapa.org/nevibecode/skills/npm-security-best-practices

## Что делает

Скилл разбирает защиту npm-пакетов, настройки менеджеров зависимостей и меры против атак на цепочку поставок. Он помогает отключить lifecycle-скрипты, запретить git-зависимости, проверять возраст релиза и ограничивать запуск скриптов только доверенными пакетами.

Материалы охватывают npm, pnpm и Bun, а также `npx`, `@lavamoat/allow-scripts`, `npq`, Socket Firewall и Snyk. Есть примеры для `.npmrc`, `pnpm-workspace.yaml`, `package.json`, lock-файлов, Renovate и Dependabot. Для части проверок нужны установленные CLI-инструменты и авторизация в Snyk.

Позиция: отключение скриптов по умолчанию может сломать пакеты, которым нужен build-скрипт, поэтому список разрешений стоит проверить до установки.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add reason-machines/security-skills --skill npm-security-best-practices -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/npm-security-best-practices/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/npm-security-best-practices/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add reason-machines/security-skills --skill npm-security-best-practices -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/npm-security-best-practices/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add reason-machines/security-skills --skill npm-security-best-practices -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/npm-security-best-practices/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install reason-machines/security-skills npm-security-best-practices
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/npm-security-best-practices/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add reason-machines/security-skills --skill npm-security-best-practices -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/reason-machines/security-skills --path skills/npm-security-best-practices
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/npm-security-best-practices/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add reason-machines/security-skills --skill npm-security-best-practices -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/reason-machines/security-skills/tree/HEAD/skills/npm-security-best-practices/SKILL.md

## Когда брать
- защитить установку npm-зависимостей
- запретить lifecycle-скрипты и git-зависимости
- проверить пакет до добавления в проект
- настроить задержку для свежих релизов
- контролировать изменения lock-файлов

## Примеры запросов агенту
- Проверь настройки npm в проекте и предложи безопасный `.npmrc` с отключёнными скриптами и запретом git-зависимостей.
- Разбери, как безопасно установить пакет через `npm`, `pnpm` и `npx`, учитывая риски цепочки поставок.
- Настрой для проекта проверку lock-файла и выборочную авторизацию build-скриптов через `@lavamoat/allow-scripts`.

## Похожие
- [check-npm](https://affpapa.org/nevibecode/skills/check-npm.md) — скилл · 2800 установок
- [sap-dependency-security](https://affpapa.org/nevibecode/skills/sap-dependency-security.md) — скилл · 558 установок
- [aube-package-manager](https://affpapa.org/nevibecode/skills/aube-package-manager.md) — скилл · 392 установки
- [add-npm-dependency](https://affpapa.org/nevibecode/skills/add-npm-dependency.md) — скилл · ★ 1388
- [dependency-upgrade](https://affpapa.org/nevibecode/skills/secondsky-dependency-upgrade.md) — скилл · 404 установки
- [npm-package](https://affpapa.org/nevibecode/skills/npm-package.md) — скилл · 331 установка

Из того же набора: [reason-machines/security-skills](https://affpapa.org/nevibecode/by/reason-machines/security-skills.md) — 17 карточек

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md