Security Auditor

Скилл Claude Code для проведения структурированных аудитов безопасности с actionable-планами устранения уязвимостей.

Установка

Как скилл Claude Code

# Клонировать в директорию скиллов Claude
git clone https://github.com/wrsmith108/claude-skill-security-auditor.git ~/.claude/skills/security-auditor

Автономное использование

Фразы-триггеры

Скилл активируется при упоминании:

• «npm audit»
• «security vulnerability»
• «dependency vulnerability»
• «CVE»
• «security check»
• «audit dependencies»
• «check vulnerabilities»

Возможности

• Выполнение npm audit --json и разбор структурированного вывода
• Классификация уязвимостей по критичности (critical, high, medium, low)
• Извлечение CVE-идентификаторов, затронутых версий и версий с исправлением
• Разграничение прямых и транзитивных зависимостей
• Генерация markdown-отчётов с командами устранения
• Поддержка принятия рисков через security-exceptions.json
• CI-совместимые коды завершения

Использование

Базовый аудит

Вывод в формате JSON

Завершение с ошибкой при уязвимостях уровня High и выше (для CI)

Завершение с ошибкой только при Critical

Аудит конкретного проекта

Принятие рисков

Создайте файл security-exceptions.json в корне проекта, чтобы зафиксировать принятые известные риски:

{
  "exceptions": [
    {
      "id": "GHSA-xxxx-xxxx-xxxx",
      "reason": "Not exploitable in our usage context",
      "expires": "2025-06-01",
      "approvedBy": "security-team"
    }
  ]
}

Принятые уязвимости отслеживаются в отчёте отдельно.

Формат вывода

Скилл генерирует markdown-отчёт, включающий:

• Сводную таблицу по уровням критичности
• Детальный разбор проблем уровня High и выше
• Анализ транзитивных зависимостей
• Команды устранения, готовые к копированию
• Список принятых рисков (при наличии)

Коды завершения

Интеграция с CI

- name: Security Audit
  run: npx tsx scripts/index.ts --fail-on high

Требования

• Установлены Node.js и npm
• Наличие валидного package.json в целевой директории
• Опционально: package-lock.json для точного аудита

История изменений

1.0.1 (2026-02-10)

• Исправлено: захардкоженные пути ~/.claude/skills/ заменены на относительные для переносимости между различными местами установки

Лицензия

MIT

Связанные скиллы

• ci-doctor — диагностика проблем CI/CD-пайплайна
• version-sync — синхронизация версий Node.js
• flaky-test-detector — обнаружение нестабильных тестов
• docker-optimizer — оптимизация Dockerfile