تبعيات أكثر أمانًا لـ Claude Code

عندما تقوم مساعدات البرمجة بالذكاء الاصطناعي مثل Claude بإضافة حزم إلى مشروعك، فإنها غالبًا ما تختار أي إصدار يبدو مناسبًا — دون التحقق مما إذا كان يحتوي على ثغرات أمنية معروفة، أو ما إذا كانت الحزمة لا تزال قيد الصيانة النشطة، أو ما إذا كان الاسم على بُعد خطأ إملائي واحد من اسم مشابه خبيث.

safer-dependencies هي طبقة أمان لـ Claude Code: تقع بين Claude وملفات البيان الخاصة بك وتقوم بتشغيل فحوصاتها الأمنية تلقائيًا: يتم رفض التثبيتات المعرضة للخطر قبل تشغيلها، ويتم تصحيح الإصدار الخطير المكتوب في ملف بيان على القرص مباشرة بعد الكتابة. تكتشف وتصلح التبعيات الخطرة — CVEs، وانتحال الأسماء، والحزم المهجورة، ومشاكل عمر الإصدار، بالإضافة إلى فترة تبريد للإصدارات الجديدة تمامًا — عبر npm وPyPI وRubyGems وMaven وGo وRust وPHP (Composer). راجع CAPABILITIES.md لمعرفة بالضبط ما هو مغطى وما ليس مغطى.

جديد هنا؟ GETTING-STARTED.md يأخذك من الصفر إلى تثبيت يعمل في حوالي خمس دقائق.

الأمان والخصوصية: راجع SECURITY.md (الإفصاح عن الثغرات)، وPRIVACY.md (تصدير البيانات، بدون تتبع)، وCAPABILITIES.md (ما يدافع عنه الأداة وما لا يدافع عنه).

الترخيص (المصدر متاح — وليس "مفتوح المصدر" وفقًا لـ OSI): مجاني للاستخدام والتعديل لأغراضك الخاصة، بما في ذلك الاستخدام الداخلي للربح/للشركات وبناء المنتجات التي تبيعها. يلزم ترخيص مدفوع منفصل فقط لتحقيق الدخل من البرنامج نفسه — بيعه، أو شحنه داخل منتج أو خدمة تُباع، أو تقديم وظائفه لأطراف ثالثة مقابل رسوم (بما في ذلك الاستضافة/SaaS/API). يجب أن يحتفظ إعادة التوزيع والمشتقات بالترخيص وينسب الفضل إلى هذا المشروع. راجع LICENSE (القسم 4 للقيود التجارية)؛ طلبات الترخيص التجاري عبر github.com/robert-auger.

المحتويات

• البدء — من الصفر إلى التثبيت في حوالي خمس دقائق
• ما الذي يفعله
• ما الذي يطلق تشغيله
• ما الموجود في هذا المستودع
• الأنظمة البيئية المدعومة
• التثبيت
  • الإعداد
  • تغيير فترة التبريد
• مستويات التحذير
• كيف يعمل
  • الوضع العادي (يدوي)
  • وضع الاعتراض (تلقائي)
  • وضع ما قبل التثبيت (خطاف Bash)
  • وضع ما بعد التثبيت (خطاف Bash)
  • وضع ما بعد الوكيل (زوج خطافات الوكيل)
• سجل التدقيق
• المتطلبات
• الأسئلة الشائعة

البدء

GETTING-STARTED.md يأخذك من الصفر إلى تثبيت يعمل في حوالي خمس دقائق — المتطلبات الأساسية، والتثبيت التفاعلي، والتحقق. للمرجع الكامل للتثبيت (التثبيتات العامة/المشروع/اليدوية، خصوصيات Windows، قائمة السماح بالأذونات، والتحديث، وإلغاء التثبيت)، راجع INSTALLATION.md.

الاستخدام اليومي: بمجرد تثبيت الخطافات، لا يوجد شيء لتشغيله — يعمل safer-dependencies تلقائيًا في الخلفية. عندما يضيف Claude الحزم أو يثبتها، فإنه يشير إلى التبعيات الخطرة ويقوم بترقية الإصدارات المعرضة للخطر إلى إصدار آمن في مكانها — ويمنع تثبيتًا معروفًا بأنه معرض للخطر قبل أن يعمل حتى — بحيث يتم اكتشاف الحزم غير الآمنة وتصحيحها دون أن تضطر إلى السؤال. لا يزال بإمكانك استدعاءه مباشرة في أي وقت: "هل [email protected] آمن؟"، "تحقق من إعداد safer-dependencies"، أو "اعرض إحصائيات safer-dependencies".

ما الذي يفعله

عندما يكون Claude على وشك إضافة حزمة إلى مشروعك، يقوم safer-dependencies بالاعتراض وتشغيل 5 فحوصات:

1. المصدر — السجل الرسمي، كشف انتحال الأسماء (npm/PyPI/RubyGems/Maven/crates.io)، عمر الحزمة
2. عمر الإصدار — يختار أحدث إصدار مستقر نُشر قبل 7+ أيام (نافذة التبريد)
3. فحص الثغرات — OSV API، مع أدوات النظام البيئي الأصلية (npm audit، pip-audit، bundle audit) عند توفرها
4. سلامة تثبيت التجزئة — لأسطر PyPI requirements.txt مع تثبيتات --hash=sha256:...، يتم التحقق من التجزئة المعلنة مقابل تجزئات PyPI المنشورة؛ عدم التطابق يصدر تحذيرًا WARNING
5. الحزم المهجورة والقديمة — الحزم المعروفة بأنها مهجورة (مثل paperclip، request، pycrypto، github.com/dgrijalva/jwt-go) يتم حظرها بشدة فورًا مع اقتراح بديل؛ الحزم التي لا تحتوي على إصدار مستقر منذ أكثر من عامين تحصل على تحذير استشاري STALE:. تتم إزالة الحزم المحظورة بشدة من ملف البيان وسيسأل Claude عن كيفية المتابعة؛ الحزم القديمة فقط تُترك في مكانها.

إذا تم العثور على مشكلات، يصدر Claude تحذيرات وقد يتراجع إلى إصدار أكثر أمانًا. يتم تسجيل جميع الفحوصات في ~/.claude/safer-dependencies-audit-YYYY-MM.log (ملف واحد لكل شهر تقويمي).

ما الذي يطلق تشغيله

تُطلق المهارة تلقائيًا عندما يقوم Claude بـ:

عمليات ملفات البيان / التثبيت

• يضيف أو يحدّث حزمة في package.json، requirements.txt، Gemfile، pom.xml، build.gradle، Cargo.toml، go.mod، أو أي ملف بيان مدعوم آخر
• يكتب import أو require أو use لحزمة غير معلنة بالفعل في ملف البيان
• ينشئ أو يحدّث ملف قفل (يفحص فقط الإدخالات الجديدة/المتغيرة)
• يشغّل تثبيت مدير الحزم عبر Bash (npm install، bundle install، poetry install، uv sync، go mod tidy، إلخ) — ما قبل التثبيت يدقق وسائط الأمر، وما بعد التثبيت يدقق ملف القفل الناتج
• يكتب Dockerfile أو سير عمل CI (.github/workflows/*.yml، إلخ) يتضمن خطوات تثبيت مدير حزم مثبتة

أسئلة الاختيار والتوصية

• مقارنات المكتبات/الأطر: "هل يجب أن أستخدم axios أم node-fetch؟"، "moment أم dayjs؟"، "أيهما أفضل X أم Y؟"
• طلبات التوصية: "ما هو عميل HTTP الجيد لـ Python؟"، "أوصِ بمكتبة تسجيل لـ Go"، "ما الحزمة التي تتعامل مع CSV في Node؟"
• اختيار الإصدار: "ما إصدار Django الذي يجب أن أستخدمه؟"، "أحدث Flask مستقر؟"

عبارات نية الاستخدام (قبل الإضافة)

• "أريد استخدام FastAPI لهذا"، "أفكر في إضافة Celery"، "ننظر إلى Prisma كـ ORM"، "لنستخدم Tailwind"

أسئلة صحة الحزمة والثقة

• "هل moment.js لا تزال قيد الصيانة؟"، "هل هذه الجوهرة لا تزال نشطة؟"، "هل X مهجورة؟"، "هل X وصلت لنهاية العمر؟"، "هل يمكنني الوثوق بهذه الحزمة؟"، "متى تم تحديث faker آخر مرة؟"

أوامر التهيئة

• npx create-react-app، npm create vite@latest، django-admin startproject، rails new، cargo new + cargo add، "أنشئ مشروع FastAPI جديدًا"

إضافات الحزم الضمنية (طلبات الميزات التي تعني تبعية جديدة)

• "أضف تخزين Redis المؤقت إلى التطبيق"، "اتصل بـ Postgres"، "أضف مصادقة JWT"، "اكتب كودًا لإرسال رسائل البريد الإلكتروني" — يُطلق عندما لا توجد حزمة لتلك الإمكانية بالفعل في ملف البيان

الترحيل والنقل

• "رحّل من requests إلى httpx"، "انتقل من CRA إلى Vite"، "انقل من moment إلى date-fns" — يدقق الحزمة الواردة

لا يُطلق لـ:

• استيرادات المكتبة القياسية (os، fs، java.util.*، إلخ)
• التبعيات المعلنة بالفعل التي لا يتم تغييرها
• النقاش الأكاديمي حول كيفية عمل حزمة داخليًا ("اشرح مُنسّق React"، "كيف يعمل تحليل وحدات webpack؟") — أسئلة المقارنة والاختيار لا تزال تُطلق
• تثبيت تطبيقات مستوى نظام التشغيل أو بيئات التشغيل أو إضافات IDE (Python نفسه، Docker، Homebrew، إضافات VS Code)

ما الموجود في هذا المستودع

هذه حزمة مهارة + خطافات، وليست ملف مهارة واحدًا. ينشر التثبيت الكامل هذه الأجزاء: