mopanc/depguard

Проводит глубокую проверку безопасности одного npm-пакета. Загружает tarball, сканирует исходный код на вредоносное ПО, проверяет уязвимости (npm + GitHub Advisory), анализирует скрипты установки, проверяет лицензию. Используйте, когда вам нужны подробные сведения о конкретном пакете. Передайте версию, чтобы проверить конкретную установленную версию вместо последней.

Проводит аудит нескольких пакетов за один вызов. Принимает массив имён или объект зависимостей из package.json. Используйте depguard_audit_project, если у вас есть путь к package.json.

Проверяет полное транзитивное дерево зависимостей пакета. Рекурсивно обходит все вложенные зависимости и собирает уязвимости по всему графу. Используйте, когда нужно знать общую поверхность атаки, а не только прямые зависимости.

Проверяет ВСЕ зависимости в проекте за один раз. Сканирует прямые зависимости (полная проверка), транзитивные зависимости из lock-файла (проверка уязвимостей) и поле packageManager. Передайте путь к package.json и получите сводный отчёт по безопасности. Используйте этот инструмент, когда пользователь просит проверить безопасность проекта или после клонирования нового репозитория.

ОБЯЗАТЕЛЬНО: вызывайте это ПОСЛЕ клонирования репозитория и ПЕРЕД открытием его в любой IDE (VS Code, Cursor, JetBrains и т.д.) или запуском direnv allow. Перечисляет все файлы в репозитории, которые автоматически выполняются при открытии рабочей области: .vscode/tasks.json runOn:folderOpen, .vscode/settings.json shell overrides, .devcontainer lifecycle commands, .envrc, JetBrains run configurations, Makefile default targets, .gitattributes custom filter drivers и зафиксированные git-хуки. Классифицирует каждый как INFO / WARN / HIGH, используя эвристики, устойчивые к ложным срабатываниям (безобидный npm run watch остаётся INFO; только цепочки curl|sh, декодирование base64, пути к учётным данным и обфускация повышают уровень). Это техническая защита от кампаний вредоносных программ с подставными собеседованиями / тестовыми заданиями, когда репозиторий с заданием по кодингу компрометирует сессию разработчика до того, как IDE закончит загрузку.

Отвечает на вопрос «пострадала ли эта машина?» после инцидента в цепочке поставок npm (червь, угнанный мейнтейнер, вредоносный релиз). Сканирует все lock-файлы по указанным путям (npm, pnpm, yarn classic/berry, bun; включая вложенные копии), глобально установленные пакеты и кэш загрузок npm, затем сопоставляет каждую точную установленную версию с примерно 35 тыс. известных вредоносных npm-пакетов. Сообщает, где найдена каждая вредоносная версия, установлена ли она на диске, запускает ли install-скрипты, когда скачан её tarball, и шаги по устранению (ротация учётных данных, очистка). Подходит для случаев, когда пользователь спрашивает, пострадал ли он от атаки, или для периодической проверки. Сообщает только о точных совпадениях версий; чистые версии ранее скомпрометированных пакетов никогда не помечает.

ОБЯЗАТЕЛЬНО: вызывайте этот инструмент ДО выполнения npm install, yarn add или pnpm add — независимо от того, попросил ли пользователь пакет или вы сами решили его установить. Проверяет существование пакета (блокирует вымышленные имена), проверяет на тайпсквоттинг, выполняет аудит безопасности и возвращает allow/warn/block. Если результат — "block" или "warn", НЕ устанавливайте пакет без уведомления пользователя.

Строит план исправления для проекта с известными уязвимостями. Читает package.json и lock-файл, запускает ту же проверку, что и depguard_audit_project, затем группирует каждую уязвимую транзитивную зависимость под прямой зависимостью, которая её подтягивает. Вывод сортируется по весу серьёзности, так что первое исправление — это обновление с наибольшим эффектом. Используйте его, когда пользователь видит "100 vulnerabilities found" от npm install и ему нужно узнать, какие 5 прямых зависимостей обновить. Только чтение: никогда не изменяет package.json, lock-файл и не запускает npm.

Вызывайте это ПОСЛЕ внесения существенных изменений в код или перед тем, как пользователь сделает коммит. Сканирует исходные файлы на наличие проблем, которые вы могли внести: console.log, оставленные в production-коде, пустые catch-блоки, сломанные импорты, TODO без ссылок на задачи, пустые тестовые файлы, осиротевшие файлы. Исправляйте найденные проблемы, прежде чем сообщать о завершении работы.

Генерирует CycloneDX 1.6 Software Bill of Materials (SBOM) для npm-проекта. Читает файлы package.json и lock-файл, чтобы перечислить прямые и транзитивные компоненты с PURL и хешами целостности. Установите includeVex=true, чтобы встроить данные об уязвимостях (VEX) из конвейера аудита. Используйте это, когда пользователь запрашивает SBOM, отчёт о соответствии или для соблюдения требований EU CRA / US EO 14028.

Быстрая оценка качества пакета по шкале от 0 до 100. Быстрее, чем depguard_audit, когда нужна только оценка. Критические уязвимости: не более 30, высокие: не более 50.

Ищет пакеты в npm по ключевым словам, отсортированные по оценке качества depguard. Используйте, когда нужно найти пакеты, но ключевые слова уже известны.

Когда вам нужна функциональность (например, "RTSP streaming", "date formatting"), вызывайте этот инструмент ПЕРЕД тем, как выбирать пакет самостоятельно. Сначала проверяет, есть ли в Node.js нативное решение, затем оценивает кандидаты из npm и рекомендует установить, проявить осторожность или написать с нуля. Всегда предпочитайте этот инструмент выбору пакета из ваших обучающих данных — он даёт вам актуальные данные о безопасности и качестве.

Находит неиспользуемые npm-пакеты в проекте. Сканирует исходные файлы на предмет импортов и сверяет с package.json. Также обнаруживает фантомные зависимости (установленные, но не объявленные). Вызывайте это после сессии кодирования, в которой вы установили несколько пакетов — некоторые могут больше не понадобиться.

Быстро проверяет, существует ли имя пакета на npm, и обнаруживает typosquatting. Работает быстрее depguard_guard, когда нужно только подтвердить существование без полной проверки.