89jobrien/dependency-management：跨多语言项目的依赖审计与升级 Skill Skill 技能

89jobrien-dependency-management 是一款面向 Agent 开发者的依赖审计与升级 Skill。它把零散的「依赖管理」经验——审计命令、合规检查、补丁/小版本/大版本分批升级、回滚规划——打包成 Claude / Codex / Claude Code 三个 Agent 都能直接调用的标准化工作流，让 Agent 在接手任意 Node.js、Python、Java、Rust 等多语言项目时，都能按统一规范梳理依赖现状、识别安全风险、规划渐进式升级路径。

核心能力：

• 多包管理器适配：内置 parser 支持解析 package.json（Node.js）、requirements.txt 与基础 pyproject.toml（Python），并给出 npm、pip、Poetry、Maven、Gradle、Cargo 六大包管理器的常用命令模板。
• 漏洞扫描指引：引导 Agent 跑 npm audit、pip-audit、OWASP Dependency-Check 等工具，把 CVE 结果按严重等级排序输出。
• 许可证合规：解析项目依赖许可证清单，标记未知 / 不兼容许可证，输出可作为合规审计证据的报告模板。
• 渐进式升级规划：把过期依赖拆分为补丁版本（patch）、小版本（minor）、主版本（major）三组，并为大版本升级生成回滚笔记与测试关卡。
• 可复用报告模板：内嵌覆盖漏洞、过期包、许可证与升级计划的统一报告结构，便于纳入团队周会或合规文档。

安装配置：

• 通过 npx skillstore add joseph obrien/89jobrien-dependency-management 一键安装到 Claude / Codex / Claude Code Agent 环境。
• 安装后无需额外配置即可在任意项目根目录调用；若项目使用 Poetry 或 Cargo 等较冷门工具，建议在 prompt 中显式说明，避免 Agent 误用 npm 风格命令。
• 首次启用时建议锁定当前 lockfile（package-lock.json / poetry.lock / Cargo.lock），便于后续审计对照。

使用步骤：

1. 识别包管理器：Agent 扫描项目根目录，确认使用 npm / pip / Poetry / Maven / Gradle / Cargo 中的哪一套，并校验 lockfile 是否提交。
2. 运行漏洞扫描：调用 npm audit --json、pip-audit 或 OWASP Dependency-Check，整理出含 CVE 编号、严重等级、修复版本的结构化结果。
3. 审查过期依赖：按补丁 / 小版本 / 主版本三组拆分，每组标记破坏性变更风险，并附对应 CHANGELOG 链接。
4. 生成合规报告：汇总已知许可证与未知许可证，标注需法务复核的条目，输出可作为合规审计依据的 markdown / CSV 报告。
5. 执行分批升级：先升级 patch 与 security fix，再升级 minor，最后逐个评估 major；每组升级后跑测试关卡，记录结果。
6. 回滚预案：每个升级步骤都注明回滚命令与影响范围，避免升级失败时无法快速回到稳定状态。

适用场景：

• 中大型 Node.js / Python 项目的例行依赖治理与季度合规审计。
• 公司被披露 Log4j 类高危 CVE 后，跨多语言项目批量排查同一依赖漏洞。
• 新工程师接手遗留项目，需要快速掌握依赖现状、安全风险与升级优先级。
• 开源项目发版前对许可证做最终清点，避免引入未知许可证引发法律风险。

工作原理： Skill 加载后会在 Agent 推理上下文中注入一套「依赖治理检查清单 + 命令模板 + 报告模板」。Agent 在收到用户的「升级 / 审计 / 许可证审查」指令时，会按清单顺序扫描项目，调用对应的本地审计 CLI（不内置执行能力），并把结果按统一格式回写到工作区。它的设计目标是「让 Agent 输出的依赖报告能在不同项目、不同包管理器间保持一致结构」，而不是替代安全团队或 DBA。

适用人群：

• 负责 Node.js / Python / Java / Rust 多技术栈项目的 Tech Lead 与架构师。
• 公司信息安全团队、DevSecOps 工程师、SRE 工程师。
• 开源项目维护者，需要在每次发版前快速完成依赖健康检查。
• 经常在不同项目间切换的全栈工程师，希望用同一套命令完成依赖审计。

官方链接：

• 技能主页：https://skillstore.io/skills/89jobrien-dependency-management
• 源码仓库：https://github.com/89jobrien/steve/tree/main/steve/skills/dependency-management
• 安装命令：npx skillstore add joseph obrien/89jobrien-dependency-management