Ein postinstall-Skript läuft bei jedem npm install, auf jedem Entwicklerrechner und jedem CI-Server. Dieser Skill markiert Install-Skripte, die Code herunterladen, Abhängigkeiten, die über einfaches http geladen werden, in die Konfiguration geschriebene Tokens und sechs weitere Risiken in package.json und .npmrc und erklärt, wie Sie jedes davon beheben.

Ihr Agent lässt einen Scanner über das Projekt laufen (npm, yarn, pnpm oder bun, Monorepos eingeschlossen; node_modules wird übersprungen). Das Ergebnis lautet BLOCK, REVIEW oder NOT FLAGGED, jeweils mit Datei, Zeile, Begründung und einer sichereren Alternative.

Was geprüft wird

BLOCK (vor dem Release beheben)

• N01: ein preinstall-, install-, postinstall- oder prepare-Skript, das etwas aus dem Netzwerk herunterlädt

• N02: eine Abhängigkeit, die über einfaches http:// geladen wird

• N03: ein npm- oder GitHub-Token in package.json oder .npmrc

REVIEW (vor der Veröffentlichung prüfen)

• N10: eine package.json, die kein gültiges JSON ist

• N11: eine Version *, latest, leer oder nach oben offen (>=)

• N12: eine Git- oder Tarball-Abhängigkeit

• N13: Abhängigkeiten ohne Lockfile

• N14: eine App, die nicht als "private": true markiert ist

• N15: eine file:- oder link:-Abhängigkeit

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Begründung und sichererer Alternative für jede Regel

• Ein riskantes und ein sicheres Beispielprojekt sowie der echte Bericht, den der Scanner für das riskante erzeugt

Grenzen

Er liest Ihre Paketdateien als Text und löst den Abhängigkeitsbaum nicht auf, daher werden Probleme innerhalb von Abhängigkeiten nicht erkannt. Bei Lockfiles wird nur geprüft, ob sie vorhanden sind. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 10 Dateien: SKILL.md, der Scanner in scripts/ (2 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererer Alternative) und examples/ (5 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

So wird es verwendet: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten dann, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und es wird nichts irgendwohin gesendet.