安装命令通过 npx 获取并运行远程包代码
原文依据:1 处README 要求执行 `npx skills add`。npx/其启动的安装器会运行从包注册表取得的代码,而提供的文件中没有固定版本、哈希或待执行代码清单。
如果包、依赖、发布账户或注册表内容遭篡改,安装过程可能以当前用户权限读取或修改文件、访问可用凭据,或安装不同于已审计内容的 Skill。
安装说明使用未固定版本或提交的 `npx skills add`,并指定全局安装。执行该命令时,安装内容取决于当时解析到的 `skills` 工具和远程仓库状态,可能影响用户的全局技能目录。源码未提供哈希或版本约束。用户可要求作者固定可信版本/提交,并先在隔离环境检查安装内容。
## Install```bashnpx skills add google-labs-code/stitch-skills --skill design-md --global```