С --extra-index-url pip берёт самую высокую версию из любого индекса, поэтому публичный пакет с именем вашего приватного пакета может победить. Этот скилл находит эту и ещё девять рисков в файлах requirements и подсказывает, как исправить каждый.

Ваш агент запускает сканер для файлов requirements*.txt, requirements*.in и файлов ограничений (constraints). Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного варианта. Токены в URL никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• Q01: URL индекса или пакета по незащищённому http://

• Q02: имя пользователя, пароль или токен в URL

• Q03: --trusted-host

REVIEW (проверить перед релизом)

• Q11: --extra-index-url

• Q12: зависимость, не зафиксированная через == (диапазоны допустимы в файлах .in)

• Q13: git-зависимость, не привязанная к коммиту

• Q14: прямой URL без хеша

• Q15: один и тот же пакет указан дважды

• Q16: установка в режиме editable или из локального пути

• Q17: --hash указан только в части строк

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с причиной и более безопасным вариантом для каждого правила

• Рискованный и безопасный примеры, а также реальный отчёт сканера по рискованному примеру

Ограничения

Сканер читает файлы requirements как текст. Он не читает pyproject.toml, Pipfile или lock-файлы, не разрешает зависимости и не проверяет базы данных уязвимостей. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-файл с 8 файлами: SKILL.md, сканер в scripts/ (2 файла Python), references/rules.md (все правила с причинами и более безопасными вариантами) и examples/ (3 файла-примера плюс report.md, реальный вывод сканера для рискованного примера).

Как использовать: это скилл для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку скиллов вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно на Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, и никакие данные никуда не отправляются.