dependency health

SKILL.md

Systematic dependency management: security-first, batch remediation, policy-driven.

Dependencies are attack surface. Manage them systematically, not reactively.

❌ Ignoring security advisories: "We'll update later" ❌ One-at-a-time updates: 100 separate PRs for 100 dependencies ❌ Automatic merging: Dependabot auto-merge without testing ❌ Dependency pinning forever: Never updating to avoid breakage ❌ License ignorance: Not checking license compatibility ❌ No testing after updates: Assuming updates won't break anything

安全第一的依赖管理方法，具有批量修复、策略驱动的合规性和自动执行功能。当依赖项中存在安全漏洞、依赖项新鲜度低（过时的软件包）、需要许可证合规性或缺乏系统依赖项管理时使用。提供安全第一的优先级（紧急漏洞、周内高、月内中）、批量修复策略（分组兼容更新、一起测试、单个 PR）、策略驱动的合规框架（安全策略、新鲜度策略、许可证策略）以及用于漏洞扫描、更新检测和合规性检查的自动化工具。在 meta-cc 中进行了验证，加速速度提高了 6 倍（手动 9 小时到系统化 1.5 小时）、3 次迭代、跨包管理器的可迁移性达到 88%（概念通用，工具因生态系统而异）。 来源：zpankz/mcp-skillset。

查看原文