supply-chain-advisory
审计项目依赖供应链，排查版本风险与完整性
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：supply-chain-advisory。 它的用途是：审计项目依赖供应链，排查版本风险与完整性 完整的 Skill 内容见：https://321skill.com/skills/supply-chain-advisory-x-4/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
‘请帮我审计当前项目的依赖供应链。’ 它会调用该Skill，扫描项目的package.json和lock文件，分析依赖树，并生成一份报告，指出是否存在已知的恶意版本、锁文件是否与node_modules中的实际版本一致，以及下载的包哈希值是否与官方仓库匹配。
介绍
这个Skill专注于审计软件项目的依赖供应链，帮助开发者发现和预防因第三方依赖引入的安全与合规风险。它通过扫描项目的依赖关系，识别出已知的恶意版本、锁文件（如package-lock.json）与实际安装版本之间的差异（即锁文件漂移），以及验证依赖包的完整性，确保下载的包与官方发布的一致，防止供应链攻击。
使用方式非常直接，开发者只需在命令行中运行该工具，指向项目目录或特定的锁文件。它会自动分析依赖树，生成一份详细的审计报告，列出所有发现的问题，包括潜在的安全漏洞、版本不一致和哈希值不匹配的包，并提供修复建议。
它非常适合所有需要管理项目依赖的开发者，尤其是那些对软件供应链安全有较高要求，或是在团队协作中需要确保开发、测试、生产环境依赖一致性的场景。前端、后端、全栈开发者和运维工程师都能从中受益。
建议将此Skill集成到CI/CD流程中，作为代码合并或构建前的自动检查环节，以便在早期发现问题。同时，定期（如每周）对项目进行主动审计，可以及时跟进上游依赖的更新和安全公告，将风险降至最低。
核心特点
与仅检查已知漏洞的依赖扫描工具不同，它同时关注锁文件漂移和包完整性，从供应链的多个环节（版本管理、安装过程）提供更全面的审计，能有效发现因依赖锁定失效或包被篡改引入的隐蔽风险。
注意事项
不适合用于审计非标准包管理器或自定义构建流程的依赖关系。
常见问题
这个工具能检查哪些编程语言的依赖？
主要支持Node.js（npm/yarn/pnpm）和Python（pip/Poetry）等主流生态的包管理器。
它和npm audit或pip-audit有什么区别？
除了检查已知漏洞，它还能检测锁文件漂移和包完整性，覆盖更广的供应链风险面。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/supply-chain-advisory-x-4/raw/index.md 读取 supply-chain-advisory 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/supply-chain-advisory-x-4/raw/index.md（查看排版版本）