会建议安装并执行未固定版本的第三方包
原文依据:4 处该 Skill 要求缺少依赖时先输出安装命令,并提供 `npx shadcn@latest` 以及多个 npm/yarn 安装命令。`@latest` 没有固定版本,执行时会下载并运行当时发布的代码;安装脚本也可能运行第三方生命周期脚本。
如果用户或代理直接执行这些命令,项目依赖和文件可能被修改。上游包被劫持、版本出现破坏性变化或名称选择错误时,第三方代码可能在开发机或 CI 权限范围内执行。
Skill 强制在缺依赖时先给出安装命令,并提供会下载、执行和写入项目的 `npx shadcn@latest` 命令。`@latest` 明确未固定;其他安装命令也未固定,实际执行还可能触发第三方生命周期脚本。用户可限制为精确版本、锁文件,并在运行前审查包及写入范围。
### 3.F Dependency Verification (mandatory)Before importing ANY 3rd-party library, check `package.json`. If the package is missing, output the install command first. **Never** assume a library exists.查看另外 3 个位置
# Radix Themesnpm install @radix-ui/themes# shadcn/ui (open code, owned components)npx shadcn@latest initnpx shadcn@latest add button card badge separator input# Atlassian Design System (Atlaskit)yarn add @atlaskit/css-reset @atlaskit/tokens @atlaskit/button @atlaskit/badge @atlaskit/section-message @atlaskit/card# Bootstrap 5.3npm install bootstrap# shadcn/ui (open code, owned components)npx shadcn@latest initnpx shadcn@latest add button card badge separator input