Скрипт postinstall выполняется при каждом npm install, на каждой машине разработчика и на каждом CI-сервере. Этот навык отмечает install-скрипты, загружающие код, зависимости, получаемые по обычному http, токены, записанные в конфигурацию, и еще шесть рисков в package.json и .npmrc, а также объясняет, как исправить каждый из них.

Ваш агент запускает сканер для проекта (npm, yarn, pnpm или bun, включая монорепозитории; node_modules пропускается). Он выдает результат BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного варианта.

Что проверяется

BLOCK (исправить до выпуска)

• N01: скрипт preinstall, install, postinstall или prepare, который что-то загружает из сети

• N02: зависимость, получаемая по обычному http://

• N03: токен npm или GitHub, записанный в package.json или .npmrc

REVIEW (проверить перед релизом)

• N10: package.json, который не является валидным JSON

• N11: версия *, latest, пустая или открытая сверху (>=)

• N12: зависимость из git или из tarball-архива

• N13: зависимости без lock-файла

• N14: приложение без пометки "private": true

• N15: зависимость через file: или link:

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Справочник по правилам: для каждого правила указаны причина и более безопасный вариант

• Рискованный и безопасный примеры проекта, а также реальный отчет, который сканер выдает по рискованному примеру

Ограничения

Он читает файлы пакета как текст и не строит дерево зависимостей, поэтому проблемы внутри самих зависимостей не видны. У lock-файлов проверяется только их наличие. Статус NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-архив, в нем 10 файлов: SKILL.md, сканер в scripts/ (2 файла на Python), references/rules.md (все правила с причинами и более безопасными вариантами) и examples/ (5 файлов-примеров плюс report.md, реальный отчет сканера по рискованному примеру).

Как использовать: это навык для агента: папка с файлом SKILL.md и скриптами на Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, никакие данные никуда не отправляются.