Dependency Health

SKILL.md

Systematic dependency management: security-first, batch remediation, policy-driven.

Dependencies are attack surface. Manage them systematically, not reactively.

❌ Ignoring security advisories: "We'll update later" ❌ One-at-a-time updates: 100 separate PRs for 100 dependencies ❌ Automatic merging: Dependabot auto-merge without testing ❌ Dependency pinning forever: Never updating to avoid breakage ❌ License ignorance: Not checking license compatibility ❌ No testing after updates: Assuming updates won't break anything

Méthodologie de gestion des dépendances axée sur la sécurité avec correction par lots, conformité basée sur des politiques et application automatisée. À utiliser lorsque des vulnérabilités de sécurité existent dans les dépendances, que la fraîcheur des dépendances est faible (packages obsolètes), que la conformité des licences est nécessaire ou que la gestion systématique des dépendances fait défaut. Fournit une priorisation axée sur la sécurité (vulnérabilités critiques immédiates, élevées en une semaine, moyennes en un mois), une stratégie de correction par lots (regrouper les mises à jour compatibles, tester ensemble, PR unique), un cadre de conformité axé sur les politiques (politiques de sécurité, politiques de fraîcheur, politiques de licence) et des outils d'automatisation pour l'analyse des vulnérabilités, la détection des mises à jour et la vérification de la conformité. Validé en méta-cc avec une accélération 6x (9 heures de manuel à 1,5 heure systématique), 3 itérations, 88 % de transférabilité entre les gestionnaires de packages (concepts universels, les outils varient selon l'écosystème). Source : zpankz/mcp-skillset.

Voir l'original