ab-testing
FreeA/B 测试设计与分析时使用。适用于产品实验、功能验证、转化率优化。融合假设驱动 + 样本量计算 + 置信度判断。
The English summary is being prepared. Showing the original description.
zhaoxuya520/AI-Fullstack-Delivery-Workflow53Updated May 19, 2026
FreePublished on GitHub
supply-chain-security
供应链安全时使用。适用于依赖漏洞扫描 / 镜像安全 / CI 投毒防护 / SBOM。融合 SLSA + Sigstore + Snyk + Trivy。
The English summary is being prepared. Showing the original description.
See how to installFiles included (2)
- SKILL.md1.8 KB
- templates/dependency-audit-template.md722 B
SKILL.md (original)
Review the instructions the agent will receive before you install.
供应链安全（Supply Chain Security）
适用场景
- 依赖漏洞扫描（npm / pip / Maven）
- 容器镜像安全扫描
- CI/CD 流水线安全
- SBOM（软件物料清单）
- 恶意包检测
核心原则
1. 依赖 = 攻击面
每个依赖都可能有漏洞
2. 锁定版本
lockfile 必须提交
3. 定期扫描
不是一次性，是持续的
4. 最小依赖
不需要的不装
5. 镜像也要扫
基础镜像可能有漏洞
工具
| 工具 | 用途 |
|---|---|
| Snyk | 依赖 + 容器 + 代码 |
| Dependabot | GitHub 自动 PR |
| Trivy | 容器 + 文件系统 |
| npm audit | npm 依赖 |
| pip-audit | Python 依赖 |
| OWASP Dependency-Check | Java |
| Grype | 容器扫描 |
| Syft | SBOM 生成 |
| cosign | 镜像签名 |
CI 集成
# GitHub Actions
- name: Trivy scan
uses: aquasecurity/trivy-action@master
with:
image-ref: 'my-app:${{ github.sha }}'
severity: 'CRITICAL,HIGH'
exit-code: '1'
配套模板
templates/dependency-audit-template.md— 依赖审计报告
质量自检
□ CI 集成依赖扫描
□ CI 集成镜像扫描
□ 高危漏洞阻塞合并
□ lockfile 提交
□ 定期更新依赖
□ SBOM 生成
□ 新依赖评估流程
常见坑
- 不扫描——已知漏洞进生产
- 不锁版本——构建不可复现
- 不更新——漏洞累积
- 只扫不修——扫描结果无人看
- typosquatting——安装错误包名
与其他 skill 的协作
上游：
devops-engineer ci-cd-pipeline → CI 集成
下游：
security-report → 扫描结果纳入报告
backend/frontend → 修复
Reviews
No reviews yet. Tell others what you thought.
Comments
No login needed. Share how it worked for you, ask a question, or note where it did not run.
No comments yet. Be the first to write one.
More skills from this repository
上线前业务方/产品方验收时使用。适用于功能交付确认、UAT、发布会签。融合 BDD Given-When-Then、Specification by Example、ATDD。
The English summary is being prepared. Showing the original description.
zhaoxuya520/AI-Fullstack-Delivery-Workflow53Updated May 19, 2026
accessibility
Free设计无障碍可访问的界面时使用。适用于满足 WCAG 标准、键盘导航、屏幕阅读器支持。优先使用 WCAG 2.2 AA 级标准 + 键盘 + 焦点 + 对比度 + ARIA。
The English summary is being prepared. Showing the original description.
zhaoxuya520/AI-Fullstack-Delivery-Workflow53Updated May 19, 2026
实现可访问性（无障碍）时使用。覆盖 WCAG 2.2 AA / ARIA / 键盘导航 / 屏幕阅读器 / 颜色对比 / 焦点管理。融合 React Aria / Radix UI / Headless UI 实践 + axe-core 自动化测试。
The English summary is being prepared. Showing the original description.
zhaoxuya520/AI-Fullstack-Delivery-Workflow53Updated May 19, 2026
ai-deployment
FreeAI 模型部署时使用。适用于推理服务 / GPU / TensorRT / 监控 / 扩缩容。
The English summary is being prepared. Showing the original description.
zhaoxuya520/AI-Fullstack-Delivery-Workflow53Updated May 19, 2026
analysis-report
Free数据分析报告输出时使用。适用于业务分析报告、周报、专项分析、决策支持。融合洞察 + 建议 + 行动项。
The English summary is being prepared. Showing the original description.
zhaoxuya520/AI-Fullstack-Delivery-Workflow53Updated May 19, 2026