EDITOR'S NOTE / 编辑选读
pnpm 12.11 会把依赖自带的 agent skill 链接进项目，先审批再生效
发生了什么
pnpm 12.11.0 起，直接依赖在 skills/<name>/SKILL.md 下附带的 agent skill，会在 pnpm install 时链接进 .claude/skills 这类目录，但要先用 pnpm approve 批准。同版新增 permissions 设置和 pnpm permissions 命令，统一记录每个依赖能否跑构建脚本、能否装 skill；还能按 rust-toolchain.toml 安装并锁定 Rust 工具链。
OUR TAKE / 编辑判断
为什么值得留意
skill 是写给 coding agent 的指令，等于让依赖包往 agent 的上下文里塞内容，风险和 postinstall 脚本同级。pnpm 把它放进和构建脚本同一套审批里，默认不放行，这个方向是对的。
可以做什么
升级后跑一次 pnpm permissions，看哪些包在等审批；批准 skill 前先读一遍它的 SKILL.md，别一路回车。
核对原文
- pnpm/pnpm · v12.11.0 ↗github.com
摘要依据链接原文整理；编辑判断不等同于实际测试结果。首次发现：2026.10.09。