साझा करें
# क्लॉड कोड के लिए सुरक्षित निर्भरताएँ

जब क्लॉड जैसे AI कोडिंग सहायक आपके प्रोजेक्ट में पैकेज जोड़ते हैं, तो वे अक्सर जो भी संस्करण सही लगता है उसे चुन लेते हैं — बिना यह जाँचे कि उसमें ज्ञात सुरक्षा कमज़ोरियाँ हैं या नहीं, पैकेज अभी भी सक्रिय रूप से बनाए रखा जा रहा है या नहीं, या नाम किसी दुर्भावनापूर्ण नकली से टाइपो की दूरी पर है या नहीं।

safer-dependencies क्लॉड कोड के लिए एक सुरक्षा परत है: यह क्लॉड और आपकी मैनिफ़ेस्ट फ़ाइलों के बीच बैठता है और अपनी सुरक्षा जाँच स्वचालित रूप से चलाता है: कमज़ोर इंस्टॉल चलने से पहले ही अस्वीकार कर दिए जाते हैं, और मैनिफ़ेस्ट में लिखा गया जोखिम भरा संस्करण लिखने के तुरंत बाद डिस्क पर सुधार दिया जाता है। यह जोखिम भरी निर्भरताओं का पता लगाता है और उन्हें ठीक करता है — CVEs, टाइपोस्क्वैट्स, परित्यक्त पैकेज, और संस्करण-आयु संबंधी समस्याएँ, साथ ही ब्रांड-नए रिलीज़ के लिए एक कूलडाउन अवधि — npm, PyPI, RubyGems, Maven, Go, Rust, और PHP (Composer) में। वास्तव में क्या कवर किया गया है और क्या नहीं, इसके लिए [CAPABILITIES.md](https://github.com/robert-auger/safer-dependencies/blob/main/CAPABILITIES.md) देखें।

> **नए हैं?** [GETTING-STARTED.md](https://github.com/robert-auger/safer-dependencies/blob/main/GETTING-STARTED.md) आपको लगभग पाँच मिनट में शून्य से कार्यशील इंस्टॉल तक ले जाता है।

> **सुरक्षा और गोपनीयता:** [SECURITY.md](https://github.com/robert-auger/safer-dependencies/blob/main/SECURITY.md) (कमज़ोरी प्रकटीकरण), [PRIVACY.md](https://github.com/robert-auger/safer-dependencies/blob/main/PRIVACY.md) (डेटा बहिर्गमन, कोई टेलीमेट्री नहीं), और [CAPABILITIES.md](https://github.com/robert-auger/safer-dependencies/blob/main/CAPABILITIES.md) (उपकरण किससे बचाव करता है और किससे नहीं) देखें।

> **लाइसेंस (स्रोत-उपलब्ध — OSI "ओपन सोर्स" नहीं):** अपने स्वयं के उद्देश्यों के लिए उपयोग और संशोधन करने के लिए निःशुल्क, **लाभ-उद्देश्य/कंपनी आंतरिक उपयोग और आपके द्वारा बेचे जाने वाले उत्पाद बनाने सहित**। एक अलग सशुल्क लाइसेंस **केवल** सॉफ़्टवेयर *स्वयं* का मुद्रीकरण करने के लिए आवश्यक है — इसे बेचना, इसे किसी बेचे जाने वाले उत्पाद या सेवा के अंदर भेजना, या इसकी कार्यक्षमता को तीसरे पक्षों को शुल्क पर प्रदान करना (होस्टेड/SaaS/API सहित)। पुनर्वितरण और व्युत्पन्न कार्यों को लाइसेंस बनाए रखना चाहिए और इस प्रोजेक्ट को श्रेय देना चाहिए। **[LICENSE](https://github.com/robert-auger/safer-dependencies/blob/main/LICENSE)** देखें (वाणिज्यिक प्रतिबंध के लिए धारा 4); वाणिज्यिक-लाइसेंस अनुरोध [github.com/robert-auger](https://github.com/robert-auger) के माध्यम से।

## सामग्री

- [आरंभ करना](#getting-started) — लगभग पाँच मिनट में शून्य से इंस्टॉल तक
- [यह क्या करता है](#what-it-does)
- [इसे क्या ट्रिगर करता है](#what-triggers-it)
- [इस रेपो में क्या है](#whats-in-this-repo)
- [समर्थित इकोसिस्टम](#supported-ecosystems)
- [इंस्टॉल](#install)
  - [कॉन्फ़िगरेशन](#configuration)
  - [कूलडाउन अवधि बदलना](#changing-the-cooldown-period)
- [चेतावनी स्तर](#warning-levels)
- [यह कैसे काम करता है](#how-it-works)
  - [सामान्य मोड (मैनुअल)](#normal-mode-manual)
  - [इंटरसेप्ट मोड (स्वचालित)](#intercept-mode-automatic)
  - [प्री-इंस्टॉल मोड (बैश हुक)](#pre-install-mode-bash-hook)
  - [पोस्ट-इंस्टॉल मोड (बैश हुक)](#post-install-mode-bash-hook)
  - [पोस्ट-एजेंट मोड (एजेंट हुक जोड़ी)](#post-agent-mode-agent-hook-pair)
- [ऑडिट लॉग](#audit-log)
- [आवश्यकताएँ](#requirements)
- [FAQ](#faq)

## आरंभ करना

**[GETTING-STARTED.md](https://github.com/robert-auger/safer-dependencies/blob/main/GETTING-STARTED.md)** आपको लगभग पाँच मिनट में शून्य से कार्यशील इंस्टॉल तक ले जाता है — पूर्वापेक्षाएँ, इंटरैक्टिव इंस्टॉल, और सत्यापन। पूर्ण इंस्टॉल संदर्भ (वैश्विक/प्रोजेक्ट/मैनुअल इंस्टॉल, विंडोज़ विशिष्टताएँ, [अनुमति अनुमतिसूची](https://github.com/robert-auger/safer-dependencies/blob/main/INSTALLATION.md#permissions-allowlist), अद्यतन, और अनइंस्टॉल) के लिए, **[INSTALLATION.md](https://github.com/robert-auger/safer-dependencies/blob/main/INSTALLATION.md)** देखें।

**दैनिक उपयोग:** एक बार हुक इंस्टॉल हो जाने के बाद, चलाने के लिए कुछ भी नहीं है — safer-dependencies पृष्ठभूमि में स्वचालित रूप से काम करता है। जैसे ही क्लॉड पैकेज जोड़ता या इंस्टॉल करता है, यह **जोखिम भरी निर्भरताओं को चिह्नित करता है और कमज़ोर संस्करणों को सुरक्षित संस्करण में अपग्रेड करता है** — और ज्ञात-कमज़ोर इंस्टॉल को चलने से पहले ही रोक देता है — ताकि असुरक्षित पैकेज आपके पूछे बिना पकड़े और सुधारे जा सकें। आप इसे किसी भी समय सीधे भी लागू कर सकते हैं: *"क्या `[email protected]` सुरक्षित है?"*, *"safer-dependencies सेटअप जाँचें"*, या *"safer-dependencies आँकड़े दिखाएँ"*।

## यह क्या करता है

जब क्लॉड आपके प्रोजेक्ट में एक पैकेज जोड़ने वाला होता है, तो safer-dependencies हस्तक्षेप करता है और 5 जाँचें चलाता है:

1. **उत्पत्ति** -- आधिकारिक रजिस्ट्री, टाइपोस्क्वाट पहचान (npm/PyPI/RubyGems/Maven/crates.io), पैकेज आयु
2. **संस्करण आयु** -- 7+ दिन पहले प्रकाशित नवीनतम स्थिर संस्करण चुनता है (कूलडाउन विंडो)
3. **कमज़ोरी स्कैन** -- OSV API, उपलब्ध होने पर इकोसिस्टम-मूल उपकरणों (npm audit, pip-audit, bundle audit) के साथ
4. **हैश-पिन अखंडता** -- PyPI `requirements.txt` पंक्तियों के लिए `--hash=sha256:...` पिन के साथ, घोषित हैश को PyPI के प्रकाशित हैश के विरुद्ध सत्यापित किया जाता है; बेमेल एक WARNING उत्सर्जित करता है
5. **परित्यक्त और पुराने पैकेज** -- ज्ञात-परित्यक्त पैकेज (जैसे `paperclip`, `request`, `pycrypto`, `github.com/dgrijalva/jwt-go`) तुरंत सुझाए गए प्रतिस्थापन के साथ हार्ड-ब्लॉक किए जाते हैं; 2+ वर्षों में कोई स्थिर रिलीज़ न होने वाले पैकेजों को एक सलाहकार `STALE:` चेतावनी मिलती है। हार्ड-ब्लॉक किए गए पैकेज मैनिफ़ेस्ट से हटा दिए जाते हैं और क्लॉड पूछेगा कि आगे कैसे बढ़ना है; केवल-पुराने पैकेज अपनी जगह पर छोड़ दिए जाते हैं।

यदि समस्याएँ पाई जाती हैं, तो क्लॉड चेतावनियाँ उत्सर्जित करता है और सुरक्षित संस्करण पर वापस जा सकता है। सभी जाँचें `~/.claude/safer-dependencies-audit-YYYY-MM.log` में लॉग की जाती हैं (प्रति कैलेंडर माह एक फ़ाइल)।

## इसे क्या ट्रिगर करता है

स्किल स्वचालित रूप से तब सक्रिय होती है जब क्लॉड:

**मैनिफ़ेस्ट / इंस्टॉल संचालन**
- `package.json`, `requirements.txt`, `Gemfile`, `pom.xml`, `build.gradle`, `Cargo.toml`, `go.mod`, या किसी अन्य समर्थित मैनिफ़ेस्ट में एक पैकेज जोड़ता या अद्यतन करता है
- मैनिफ़ेस्ट में पहले से घोषित न किए गए पैकेज के लिए `import`, `require`, या `use` लिखता है
- एक लॉक फ़ाइल उत्पन्न या अद्यतन करता है (केवल नई/बदली हुई प्रविष्टियों की जाँच करता है)
- बैश के माध्यम से पैकेज-मैनेजर इंस्टॉल चलाता है (`npm install`, `bundle install`, `poetry install`, `uv sync`, `go mod tidy`, आदि) — प्री-इंस्टॉल कमांड तर्कों का ऑडिट करता है, पोस्ट-इंस्टॉल परिणामी लॉकफ़ाइल का ऑडिट करता है
- एक `Dockerfile` या CI वर्कफ़्लो (`.github/workflows/*.yml`, आदि) लिखता है जिसमें पिन किए गए पैकेज-मैनेजर इंस्टॉल चरण एम्बेडेड होते हैं

**चयन और अनुशंसा प्रश्न**
- लाइब्रेरी/फ्रेमवर्क तुलना: "क्या मुझे axios या node-fetch उपयोग करना चाहिए?", "moment बनाम dayjs?", "X या Y में से कौन बेहतर है?"
- अनुशंसा अनुरोध: "Python के लिए एक अच्छा HTTP क्लाइंट क्या है?", "Go के लिए एक लॉगिंग लाइब्रेरी की अनुशंसा करें", "Node में CSV कौन सा पैकेज संभालता है?"
- संस्करण चयन: "मुझे Django का कौन सा संस्करण उपयोग करना चाहिए?", "नवीनतम स्थिर Flask?"

**उपयोग-इरादे की अभिव्यक्तियाँ (जोड़ने से पहले)**
- "मैं इसके लिए FastAPI उपयोग करना चाहता हूँ", "मैं Celery जोड़ने के बारे में सोच रहा हूँ", "हम Prisma को ORM के रूप में देख रहे हैं", "चलो Tailwind उपयोग करें"

**पैकेज स्वास्थ्य और विश्वास प्रश्न**
- "क्या moment.js अभी भी बनाए रखा जा रहा है?", "क्या यह gem अभी भी सक्रिय है?", "क्या X परित्यक्त है?", "क्या X EOL है?", "क्या मैं इस पैकेज पर भरोसा कर सकता हूँ?", "faker को आखिरी बार कब अपडेट किया गया था?"

**स्कैफोल्डिंग कमांड**
- `npx create-react-app`, `npm create vite@latest`, `django-admin startproject`, `rails new`, `cargo new` + `cargo add`, "एक नया FastAPI प्रोजेक्ट बूटस्ट्रैप करें"

**अंतर्निहित पैकेज जोड़ (फीचर अनुरोध जो एक नई निर्भरता का संकेत देते हैं)**
- "ऐप में Redis कैशिंग जोड़ें", "Postgres से कनेक्ट करें", "JWT प्रमाणीकरण जोड़ें", "ईमेल भेजने के लिए कोड लिखें" — तब सक्रिय होता है जब उस क्षमता के लिए कोई पैकेज पहले से मैनिफ़ेस्ट में नहीं होता

**माइग्रेशन और पोर्टिंग**
- "requests से httpx में माइग्रेट करें", "CRA से Vite में जाएँ", "moment से date-fns में पोर्ट करें" — आने वाले पैकेज का ऑडिट करता है

यह **निम्नलिखित के लिए सक्रिय नहीं होता**:

- मानक लाइब्रेरी इम्पोर्ट (`os`, `fs`, `java.util.*`, आदि)
- पहले से घोषित निर्भरताएँ जिन्हें बदला नहीं जा रहा है
- किसी पैकेज के आंतरिक कार्य की शैक्षणिक चर्चा ("React के reconciler की व्याख्या करें", "webpack का मॉड्यूल रिज़ॉल्यूशन कैसे काम करता है?") — तुलना और चयन प्रश्न अभी भी सक्रिय होते हैं
- OS-स्तरीय ऐप्स, रनटाइम, या IDE एक्सटेंशन इंस्टॉल करना (Python स्वयं, Docker, Homebrew, VS Code एक्सटेंशन)

## इस रेपो में क्या है

यह एक **स्किल + हुक बंडल** है, एकल स्किल फ़ाइल नहीं। एक पूर्ण इंस्टॉल इन भागों को तैनात करता है:

| फ़ाइल | भूमिका |
|---|---|
| `skills/safer-dependencies.md` | **स्किल** (इंस्टॉल होने पर `SKILL.md`)। ऑडिट प्रक्रियाओं का वर्णन करता है और इंस्टॉलेशन/आँकड़ों के लिए प्रबंधन मोड शामिल करता है। |
| `skills/safer-dependencies-shim.sh` | `PostToolUse:Write`/`Edit` हुक — मैनिफ़ेस्ट + लॉकफ़ाइल लेखन का ऑडिट करता है और कमज़ोर संस्करणों को स्थान पर स्वतः सुधारता है (इंटरसेप्ट मोड)। |
| `skills/safer-dependencies-pretooluse-bash.sh` | `PreToolUse:Bash` हुक — पैकेज-मैनेजर इंस्टॉल कमांड का प्री-फ़्लाइट OSV ऑडिट; इंस्टॉल चलने से पहले कमज़ोर कंक्रीट पिन को अस्वीकार करता है (प्री-इंस्टॉल मोड)। |
| `skills/safer-dependencies-posttooluse-bash.sh` | `PostToolUse:Bash` हुक — बैश कमांड के बाद पोस्ट-फ़्लाइट ऑडिट; नई लिखी गई लॉकफ़ाइलों, `sed`/`jq`/स्क्रिप्ट के माध्यम से संपादित मैनिफ़ेस्ट, और सादे `pip install` के हल किए गए वातावरण में ट्रांज़िटिव CVEs को पकड़ता है (पोस्ट-इंस्टॉल मोड)। |
| `skills/safer-dependencies-pretooluse-agent.sh` + `skills/safer-dependencies-posttooluse-agent.sh` | `PreToolUse:Agent` + `PostToolUse:Agent` हुक जोड़ी — सबएजेंट कवरेज अंतर को बंद करती है। मोड 2–4 केवल रूट-सत्र टूल कॉल के लिए सक्रिय होते हैं, इसलिए सबएजेंट द्वारा लिखा गया कोई भी मैनिफ़ेस्ट उन्हें बायपास करता है। पोस्ट-एजेंट प्रत्येक Agent टूल-कॉल के लौटने के बाद सबएजेंट द्वारा लिखी गई किसी भी चीज़ का ऑडिट करता है (पोस्ट-एजेंट मोड)। |
| `skills/scripts/` | साझा Python लाइब्रेरी (`safedep/`) और स्टैंडअलोन रिज़ॉल्वर स्क्रिप्ट जो सभी हुक द्वारा उपयोग की जाती हैं। |
| `skills/scripts/safer_dependencies_manager.py` | इंटरैक्टिव इंस्टॉलेशन, उपयोग आँकड़े, और सेटअप सत्यापन के लिए प्रबंधन मॉड्यूल। |

अकेले स्किल फ़ाइल पर्याप्त नहीं है — हुक के बिना, स्वचालित आह्वान क्लॉड के स्किल तक पहुँचने के निर्णय पर निर्भर करता है। पूर्ण कवरेज के लिए सभी पाँच भाग इंस्टॉल करें; कई स्किल और स्लैश कमांड आंतरिक रूप से सबएजेंट भेजते हैं, इसलिए पोस्ट-एजेंट जोड़ी मायने रखती है भले ही आप कभी स्पष्ट रूप से एक न बनाएँ। (अकेले स्किल कवरेज की गारंटी क्यों नहीं दे सकता, इसके लिए [FAQ.md](https://github.com/robert-auger/safer-dependencies/blob/main/FAQ.md#why-a-skill-alone-is-not-sufficient) देखें।)

## समर्थित इकोसिस्टम

| इकोसिस्टम | मैनिफ़ेस्ट | लॉक फ़ाइल |
|-----------|----------|-----------|
| npm | `package.json` | `package-lock.json`, `yarn.lock`, `pnpm-lock.yaml` |
| PyPI | `requirements.txt`, `pyproject.toml`, `Pipfile`, `setup.py`, `setup.cfg` | `Pipfile.lock`, `poetry.lock`, `uv.lock` |
| RubyGems | `Gemfile`, `*.gemspec` | `Gemfile.lock` |
| Maven | `pom.xml`, `build.gradle`, `libs.versions.toml` | -- |
| Go | `go.mod` | `go.sum` |
| Rust | `Cargo.toml` | `Cargo.lock` |
| PHP (Composer) | `composer.json` | `composer.lock` |

## इंस्टॉल

प्रोजेक्ट में नए हैं? **[GETTING-STARTED.md](https://github.com/robert-auger/safer-dependencies/blob/main/GETTING-STARTED.md)** से शुरू करें। संक्षिप्त संस्करण:```bash
git clone https://github.com/robert-auger/safer-dependencies /tmp/safer-dependencies
python3 /tmp/safer-dependencies/skills/scripts/safer_dependencies_manager.py interactive_install
```
इंस्टॉलर स्कोप (ग्लोबल बनाम प्रोजेक्ट) और कौन से हुक सक्षम करने हैं, इसके बारे में पूछता है, फिर आपके लिए `settings.json` लिखता है — दोनों हुक एंट्री **और** अनुमतियाँ अनुमति-सूची, जो स्किल के चेक कमांड को हर ऑडिट पर अनुमोदन प्रॉम्प्ट के बिना चलाने देती है।

इंस्टॉल से जुड़ी बाकी सब कुछ **[INSTALLATION.md](https://github.com/robert-auger/safer-dependencies/blob/main/INSTALLATION.md)** में रहती है, जो इंस्टॉल तंत्र का एकमात्र संदर्भ है: मैन्युअल फ़ाइल-दर-फ़ाइल इंस्टॉल (ग्लोबल और प्रोजेक्ट-स्तर), Windows विशेषताएँ, Post-Agent हुक, [अनुमतियाँ अनुमति-सूची](https://github.com/robert-auger/safer-dependencies/blob/main/INSTALLATION.md#permissions-allowlist), सेटअप सत्यापन, अपडेट, रिलीज़ टैग पर पिन करना, और अनइंस्टॉल करना।

इंस्टॉल के बाद, दिन-प्रतिदिन का प्रबंधन Claude को प्राकृतिक भाषा में किया जाता है — `install safer-dependencies` (फिर से चलाएँ / हुक बदलें), `show safer-dependencies stats`, `check safer-dependencies setup` — या `/safer-dependencies` मेनू के माध्यम से। अपडेट भी सत्र के भीतर होता है: `/safer-dependencies update` नवीनतम रिलीज़ लागू करता है (`update --check` ड्राई-रन के लिए, `update --rollback` पूर्ववत करने के लिए); विश्वास मॉडल के लिए [INSTALLATION.md](https://github.com/robert-auger/safer-dependencies/blob/main/INSTALLATION.md#in-session-self-updater-safer-dependencies-update) देखें।

> **प्लेटफ़ॉर्म नोट:** macOS, Linux, और Windows समर्थित हैं। Windows को Git for Windows (जो bash प्रदान करता है) और `PATH` पर Python 3 की आवश्यकता होती है — WSL की कोई आवश्यकता नहीं। अब तक के व्यावहारिक परीक्षण **macOS और Windows** पर केंद्रित रहे हैं; Linux समर्थन स्वचालित CI मैट्रिक्स द्वारा परखा जाता है।

### कॉन्फ़िगरेशन

इंस्टॉल के बाद दो चीज़ें कॉन्फ़िगर करने योग्य हैं:

- **अनुमतियाँ अनुमति-सूची** — स्किल के केवल-पढ़ने वाले चेक कमांड (सटीक-रूप `npm audit` / `bundle audit` नियम और स्किल के अपने रिज़ॉल्वर स्क्रिप्ट) को पहले से अनुमोदित करती है, ताकि ऑडिट हर बार अनुमोदन प्रॉम्प्ट के बिना चलें; `curl` कभी पहले से अनुमोदित नहीं होता, और `npm view` / `pip-audit` Convenience प्रोफ़ाइल के माध्यम से ऑप्ट-इन होते हैं। इंटरैक्टिव इंस्टॉलर आपके लिए मुख्य एंट्री लिखता है; मैन्युअल इंस्टॉल पूरा ब्लॉक हाथ से जोड़ते हैं। पूरा ब्लॉक और तर्क: [INSTALLATION.md → अनुमतियाँ अनुमति-सूची](https://github.com/robert-auger/safer-dependencies/blob/main/INSTALLATION.md#permissions-allowlist)।
- **सुरक्षा नीति** — रिलीज़-आयु कूलडाउन विंडो/मोड और हर चेक प्रकार के लिए एक प्रति-चेक `off`/`warn`/`block` स्तर, जिसे `/safer-dependencies config` से संपादित किया जाता है और `~/.config/safer-dependencies/config.toml` में संग्रहीत किया जाता है। स्कीमा और स्तर शब्दार्थ: [`skills/references/configuration.md`](https://github.com/robert-auger/safer-dependencies/blob/main/skills/references/configuration.md)।

### कूलडाउन अवधि बदलना

कूलडाउन (जिसे कॉन्फ़िग में **cooloff** कहा जाता है) वह न्यूनतम आयु है जो एक रिलीज़ को स्किल द्वारा चुने जाने से पहले प्राप्त करनी चाहिए — डिफ़ॉल्ट **7 दिन**। इसे बदलने के लिए, Claude से पूछें या कॉन्फ़िग कमांड सीधे चलाएँ:```
/safer-dependencies config set cooloff.days 14     # require releases to be 14+ days old
/safer-dependencies config set cooloff.mode block  # gate strength: off | warn | block (default: warn)
/safer-dependencies config unset cooloff.days      # revert to the 7-day default
/safer-dependencies config                         # show effective values and where each comes from
```
वही क्रियाएँ Claude सत्र के बाहर भी काम करती हैं:```bash
python3 skills/scripts/safer_dependencies_manager.py config set cooloff.days 14
```
यह सेटिंग `~/.config/safer-dependencies/config.toml` (अनुभाग `[cooloff]`) में बनी रहती है; `SAFE_DEP_COOLOFF_DAYS` और `SAFE_DEP_COOLOFF_MODE` पर्यावरण चर प्रति-सत्र फ़ाइल को ओवरराइड करते हैं। तीन व्यवहार जानने योग्य हैं: `mode = "off"` संस्करण चयन से आयु फ़िल्टर को पूरी तरह हटा देता है; CVE-संचालित पुनर्लेखन गेट को बायपास करता है, इसलिए सुरक्षा सुधार को कभी भी बहुत नया होने के कारण रोका नहीं जाता; और गेट npm, PyPI, RubyGems, और crates.io को कवर करता है — Maven और Go को जानबूझकर गेट नहीं किया गया है। पूर्ण शब्दार्थ: [`skills/references/configuration.md`](https://github.com/robert-auger/safer-dependencies/blob/main/skills/references/configuration.md)।

## चेतावनी स्तर

| स्तर | अर्थ | उदाहरण |
|-------|---------|---------|
| CRITICAL | रोकें और उपयोगकर्ता से पूछें | टाइपोस्क्वाट का पता चला, छेड़छाड़ किया गया हस्ताक्षर |
| HIGH | चेतावनी दें और आगे बढ़ें | ज्ञात CVE, पैकेज 30 दिन से कम पुराना |
| MEDIUM | चेतावनी दें और आगे बढ़ें | संस्करण 7 दिन से कम पुराना, हस्ताक्षर गायब |
| LOW | चेतावनी दें और आगे बढ़ें | अहस्ताक्षरित Ruby gem (अपेक्षित) |

## यह कैसे काम करता है

यह स्किल पाँच मोड में संचालित होती है (नीचे सारांशित; सबसे गहरा डिज़ाइन तर्क `skills/safer-dependencies.md` में है):

### सामान्य मोड (मैनुअल)

जब Claude एक `import` लिखने, मैनिफ़ेस्ट में पैकेज जोड़ने, या लॉक फ़ाइल अपडेट करने वाला होता है, तो स्किल आपके सत्र में इनलाइन चलती है:

1. स्थिर संस्करणों के लिए पैकेज रजिस्ट्री से पूछताछ करती है
2. 7+ दिन पहले प्रकाशित नवीनतम संस्करण को स्वतः चुनती है (निर्धारक — कोई LLM निर्णय नहीं)
```

---

[Read more](https://github.com/robert-auger/safer-dependencies)
safer-dependencies

सबसे लोकप्रिय
