의존성 보안 감사관

무엇을 해주나

• package.json, 각종 lockfile, requirements.txt, go.mod, Cargo.toml, pom.xml, Gemfile.lock 등을 찾아 실제 설치(해석)된 버전으로 의존성 목록을 만듭니다.
• 생태계에 맞는 읽기 전용 명령(npm audit --json, pnpm audit, pip-audit, govulncheck, cargo audit, go list -m -json all 등)만 실행합니다.
• 취약점마다 advisory ID·출처 링크·조회 시각·영향 범위·수정 버전·직접/전이 구분·도달 가능성 근거를 기록하게 합니다.
• 버전 노후화, deprecated 여부, 라이선스(SPDX) 사실과 '확인 필요 항목'을 표 형태 보고서로 정리합니다.
• 기본은 읽기 전용이며, 의존성이나 lockfile을 바꾸는 작업은 사용자의 명시적 승인 후에만 최소 범위로 수행합니다.

이런 분께 추천

• 릴리스 전 공급망 점검이 필요한 백엔드/프론트엔드 개발자
• 여러 언어 스택이 섞인 모노레포를 관리하는 플랫폼·DevOps 엔지니어
• 오픈소스 라이선스 실사(due diligence) 자료가 필요한 보안·컴플라이언스 담당자
• "AI가 CVE를 지어내는 것"이 싫은 코드 리뷰어

활용 예시

1. "이 저장소 pnpm-lock.yaml 기준으로 취약점 감사 보고서 만들어줘" → 실행한 명령, 커버리지 공백, advisory 표가 포함된 보고서 생성.
2. "go.mod와 Cargo.toml이 같이 있는 모노레포인데 프로덕션 의존성만 점검해줘" → 생태계별로 도구 존재 여부를 확인하고 미실행 항목을 이유와 함께 명시.
3. "감사 결과 중 Critical 두 건만 승인할 테니 패치 버전으로 최소 업그레이드해줘" → 승인 범위 확인 후 배치 업그레이드, diff·테스트 재실행, 롤백 방법 기록.

이 파일의 지시를 읽고 그대로 따라서 나를 도와줘:
https://raw.githubusercontent.com/laolaoshiren/claude-code-skills-zh/HEAD/skills/dep-auditor/SKILL.md

내가 원하는 것: (여기에 하고 싶은 일을 쓰세요)

클로드스킬마트에서 찾은 스킬을 설치해줘.
GitHub 저장소 laolaoshiren/claude-code-skills-zh 의 skills/dep-auditor 폴더를 내 ~/.claude/skills/dep-auditor/ 에 그대로 복사해줘.
설치가 끝나면 이 스킬로 무엇을 할 수 있는지 한 줄로 알려줘.