依存関係アップデータ

任意の言語に対応したスマート依存関係管理（自動検出と安全なアップデート機能付き）。

---

クイックスタート

update my dependencies

このスキルがあなたのプロジェクトタイプを自動検出し、残りの作業を処理します。

---

トリガー

トリガー	例
依存関係を更新	"update dependencies", "update deps"
非推奨パッケージの確認	"check for outdated packages"
依存関係の問題を修正	"fix my dependency problems"
セキュリティ監査	"audit dependencies for vulnerabilities"
依存関係の診断	"diagnose dependency issues"

---

サポート言語

言語	パッケージファイル	更新ツール	監査ツール
Node.js	package.json	taze	npm audit
Python	requirements.txt, pyproject.toml	pip-review	safety, pip-audit
Go	go.mod	go get -u	govulncheck
Rust	Cargo.toml	cargo update	cargo audit
Ruby	Gemfile	bundle update	bundle audit
Java	pom.xml, build.gradle	mvn versions:*	mvn dependency:*
.NET	*.csproj	dotnet outdated	dotnet list package --vulnerable

---

クイックリファレンス

更新タイプ	バージョン変更	アクション
Fixed	^ または ~ なし	スキップ（意図的なピン留め）
PATCH	x.y.z → x.y.Z	自動適用
MINOR	x.y.z → x.Y.0	自動適用
MAJOR	x.y.z → X.0.0	ユーザーに個別に確認

---

ワークフロー

ユーザーリクエスト
    │
    ▼
┌─────────────────────────────────────────────────────┐
│ ステップ 1: プロジェクトタイプを検出                │
│ • パッケージファイルをスキャン（package.json等）    │
│ • パッケージマネージャーを特定                       │
├─────────────────────────────────────────────────────┤
│ ステップ 2: 前提条件の確認                           │
│ • 必要なツールがインストールされているか確認        │
│ • 不足している場合はインストール手順を提案          │
├─────────────────────────────────────────────────────┤
│ ステップ 3: 更新可能なものをスキャン               │
│ • 言語固有の非推奨チェックを実行                    │
│ • 分類: MAJOR / MINOR / PATCH / Fixed               │
├─────────────────────────────────────────────────────┤
│ ステップ 4: 安全な更新を自動適用                    │
│ • MINOR と PATCH を自動適用                          │
│ • 更新内容をレポート                                │
├─────────────────────────────────────────────────────┤
│ ステップ 5: MAJOR 更新について確認                 │
│ • 各 MAJOR 更新についてユーザーに確認               │
│ • 現在のバージョン → 新しいバージョンを表示        │
├─────────────────────────────────────────────────────┤
│ ステップ 6: 承認された MAJOR を適用                │
│ • 承認されたパッケージのみを更新                    │
├─────────────────────────────────────────────────────┤
│ ステップ 7: 完了処理                                │
│ • インストールコマンドを実行                        │
│ • セキュリティ監査を実行                            │
└─────────────────────────────────────────────────────┘

---

言語別コマンド

Node.js (npm/yarn/pnpm)

# 前提条件の確認
scripts/check-tool.sh taze "npm install -g taze"

# 更新可能なものをスキャン
taze

# minor/patch を適用
taze minor --write

# 特定の major を適用
taze major --write --include pkg1,pkg2

# モノレポのサポート
taze -r  # recursive

# セキュリティ
npm audit
npm audit fix

Python

# 非推奨パッケージを確認
pip list --outdated

# すべてを更新（注意が必要）
pip-review --auto

# 特定のパッケージを更新
pip install --upgrade package-name

# セキュリティ
pip-audit
safety check

Go

# 非推奨パッケージを確認
go list -m -u all

# すべてを更新
go get -u ./...

# クリーンアップ
go mod tidy

# セキュリティ
govulncheck ./...

Rust

# 非推奨パッケージを確認
cargo outdated

# セマンティックバージョニング内で更新
cargo update

# セキュリティ
cargo audit

Ruby

# 非推奨パッケージを確認
bundle outdated

# すべてを更新
bundle update

# 特定のパッケージを更新
bundle update --conservative gem-name

# セキュリティ
bundle audit

Java (Maven)

# 非推奨パッケージを確認
mvn versions:display-dependency-updates

# 最新版に更新
mvn versions:use-latest-releases

# セキュリティ
mvn dependency:tree
mvn dependency-check:check

.NET

# 非推奨パッケージを確認
dotnet list package --outdated

# 特定のパッケージを更新
dotnet add package PackageName

# セキュリティ
dotnet list package --vulnerable

---

診断モード

依存関係が壊れている場合は診断を実行してください：

よくある問題と解決策

問題	症状	解決策
バージョン競合	"Cannot resolve dependency tree"	クリーンインストール、overrides/resolutions を使用
ピア依存関係	"Peer dependency not satisfied"	必須ピアバージョンをインストール
セキュリティ脆弱性	npm audit にエラーが表示	npm audit fix または手動更新
未使用の依存関係	バンドルサイズが大きい	depcheck (Node) などを実行
重複する依存関係	複数のバージョンがインストール	npm dedupe など同等のコマンドを実行

緊急修正

# Node.js - リセット
rm -rf node_modules package-lock.json
npm cache clean --force
npm install

# Python - 仮想環境をクリア
rm -rf venv
python -m venv venv
source venv/bin/activate
pip install -r requirements.txt

# Go - モジュールをリセット
rm go.sum
go mod tidy

---

セキュリティ監査

任意のプロジェクトのセキュリティチェックを実行してください：

# Node.js
npm audit
npm audit --json | jq '.metadata.vulnerabilities'

# Python
pip-audit
safety check

# Go
govulncheck ./...

# Rust
cargo audit

# Ruby
bundle audit

# .NET
dotnet list package --vulnerable

深刻度別の対応

深刻度	アクション
Critical	直ちに対応
High	24 時間以内に対応
Moderate	1 週間以内に対応
Low	次のリリース時に対応

---

避けるべきパターン

避けるべき	理由	代わりに
ピン留め版の更新	意図的にピン留めされている	スキップ
MAJOR の自動適用	破壊的変更の可能性	ユーザーに確認
MAJOR をまとめて確認	コンテキストが失われる	個別に確認
ロックファイルをスキップ	再現不可能なビルド	常にロックファイルをコミット
セキュリティアラートを無視	脆弱性が残る	深刻度に応じて対応

---

検証チェックリスト

更新後：

• 更新がエラーなくスキャンされた
• MINOR/PATCH が自動適用された
• MAJOR 更新が個別に確認された
• ピン留め版が変更されていない
• ロックファイルが更新された
• インストールコマンドが実行された
• セキュリティ監査が成功した（または問題が記録された）

---

<details> <summary><strong>深掘り：プロジェクト検出</strong></summary>

このスキルはパッケージファイルをスキャンしてプロジェクトタイプを自動検出します：

ファイル検出	言語	パッケージマネージャー
package.json	Node.js	npm/yarn/pnpm
requirements.txt	Python	pip
pyproject.toml	Python	pip/poetry
Pipfile	Python	pipenv
go.mod	Go	go modules
Cargo.toml	Rust	cargo
Gemfile	Ruby	bundler
pom.xml	Java	Maven
build.gradle	Java/Kotlin	Gradle
*.csproj	.NET	dotnet

モノレポでは検出の順序が重要です：

1. 現在のディレクトリを最初にチェック
2. ワークスペース/モノレポパターンをチェック
3. 該当する場合は再帰的に実行することを提案

</details> <details> <summary><strong>深掘り：Node.js と taze</strong></summary>

前提条件

# taze をグローバルにインストール（推奨）
npm install -g taze

# または npx を使用
npx taze

スマート更新フロー

# 1. すべての更新をスキャン
taze

# 2. 安全な更新を適用（minor + patch）
taze minor --write

# 3. 各 major について、ユーザーに確認：
#    "Update @types/node from ^20.0.0 to ^22.0.0?"
#    はいの場合、承認リストに追加

# 4. 承認された major を適用
taze major --write --include approved-pkg1,approved-pkg2

# 5. インストール
npm install  # または pnpm install / yarn

自動承認リスト

一部のパッケージは頻繁に major バージョンを更新していますが、後方互換性があります：

パッケージ	理由
lucide-react	アイコンライブラリ、major は加算的
@types/*	型定義、通常は安全

</details> <details> <summary><strong>深掘り：バージョン戦略</strong></summary>

セマンティックバージョニング

MAJOR.MINOR.PATCH (例：2.3.1)

MAJOR: 破壊的変更 - コード変更が必要
MINOR: 新機能 - 後方互換性あり
PATCH: バグ修正 - 後方互換性あり

範囲指定子

指定子	意味	例
^1.2.3	Minor + Patch OK	>=1.2.3 <2.0.0
~1.2.3	Patch のみ	>=1.2.3 <1.3.0
1.2.3	正確版（ピン留め）	1.2.3 のみ
>=1.2.3	以上	>=1.2.3 すべて
*	すべて	最新（危険）

推奨戦略

{
  "dependencies": {
    "critical-lib": "1.2.3",      // クリティカルは正確版
    "stable-lib": "~1.2.3",       // 安定版は patch のみ
    "modern-lib": "^1.2.3"        // 活発版は minor OK
  }
}

</details> <details> <summary><strong>深掘り：競合解決</strong></summary>

Node.js での競合

診断：

npm ls package-name      // 依存関係ツリーを確認
npm explain package-name // インストール理由を確認
yarn why package-name    // Yarn 同等のコマンド

overrides による解決：

// package.json
{
  "overrides": {
    "lodash": "^4.18.0"
  }
}

resolutions による解決（Yarn）：

{
  "resolutions": {
    "lodash": "^4.18.0"
  }
}

Python での競合

診断：

pip check
pipdeptree -p package-name

解決：

// 仮想環境を使用
python -m venv venv
source venv/bin/activate
pip install -r requirements.txt

// または制約ファイルを使用
pip install -c constraints.txt -r requirements.txt

</details>

---

スクリプトリファレンス

スクリプト	目的
scripts/check-tool.sh	ツールがインストールされているか確認
scripts/run-taze.sh	適切なフラグで taze を実行

---

関連ツール

ツール	言語	目的
taze	Node.js	スマート依存関係更新
npm-check-updates	Node.js	taze の代替
pip-review	Python	インタラクティブな pip 更新
cargo-edit	Rust	Cargo 依存関係管理
bundler-audit	Ruby	セキュリティ監査