相依套件與授權稽核 使用說明

用途

告訴你專案的套件要用什麼指令掃描漏洞、去哪裡看授權，掃完貼回輸出，幫你判讀先修哪些。

適合誰

• 專案快上線，想確認用到的套件有沒有已知漏洞的人。
• 想知道某個套件能不能商用的接案工程師或新創團隊。
• 看到升級提醒，不確定該不該升的人。

怎麼用

1. 把這個 Skill 加進你的 AI 工具（放進它的 Skills 位置，或把 SKILL.md 的內容貼進自訂指令）。
2. 貼上你的套件清單或鎖定檔（例如 requirements.txt、package-lock.json）。
3. 說「這些套件有沒有漏洞、授權能不能商用」，照它給的指令自己掃，再把輸出貼回來。

範例

你說：貼上一份 requirements.txt，問「有沒有漏洞，能不能上線」。

會得到：它會說明目前只有清單、沒有掃描結果，所以先不下結論。接著給你兩行指令（pip install pip-audit、pip-audit -r requirements.txt），請你自己跑。你把輸出貼回來後，它才依輸出幫你排優先順序。

注意

• 它不會替你執行掃描，也不會憑記憶說「某套件某版本有某漏洞」；沒有掃描輸出就一律標待掃描。
• 授權要看到實際授權檔才會講。授權的法律效果、商用糾紛，請找法務確認。
• GPL、AGPL 這類有傳染性的授權，商用前一定要再確認。

技序 Jixu AI 出品