检查任何 GitHub 仓库的依赖有没有漏洞

14 个生态中的 30 种锁文件格式和 7 种清单格式。每个文件夹都会读取，monorepo 和 workspace 也不例外。项目没有锁文件时，我们读取其清单固定的确切版本。无法检查的锁文件（如 CocoaPods 或 Conan 的）会在仓库页面上列出，绝不悄悄跳过。

JavaScript, TypeScriptnpm

package-lock.jsonnpm-shrinkwrap.jsonpnpm-lock.yamlyarn.lockbun.lockdeno.lockpackage.json

PythonPyPI

uv.lockpoetry.lockPipfile.lockpdm.lockpylock.tomlrequirements.txtrequirements.lockpixi.lockconda-lock.ymlpyproject.toml

Rustcrates.io

Cargo.lockCargo.toml

GoGo modules

go.mod

Java, KotlinMaven

gradle.lockfilemaven_install.jsonpom.xmllibs.versions.toml

.NETNuGet

packages.lock.jsonpackages.configpaket.lock.csproj.fsproj.vbprojDirectory.Packages.props

RubyRubyGems

Gemfile.lockgems.locked

PHPPackagist

composer.lock

Dart, FlutterPub

pubspec.lock

SwiftSwiftPM

Package.resolved

Elixir, ErlangHex

mix.lockrebar.lock

HaskellHackage

cabal.project.freeze

RCRAN

renv.lock

JuliaJulia

Manifest.toml

虚线框：清单文件，只在没有锁文件覆盖时读取。

1. 1

   读取最新提交中的锁文件

   在 GitHub 上按确切的提交读取每个文件夹里的每个锁文件：每个包固定的版本，以及是否只有开发工具在用。你的源代码从不读取。

2. 2

   把每个版本与所有已知漏洞比对

   每个版本都会在 OSV 中查询（它汇集了各个公开的安全公告数据库：GitHub、PyPI、RustSec、Go 等），也会在 CISA 的已被攻击者利用的漏洞清单中查询。

3. 3

   告诉你先更新什么

   影响你用户的排在前面，最严重的在最上方：要更新的包（往往是引入漏洞的直接依赖），以及修复它的版本。测试、示例、文档和开发工具单独列出，从不计入答案。

4. 4

   说明漏洞可能造成什么，而不是断定已经发生

   我们不检查你的代码是否调用了包中有漏洞的部分。页面上的漏洞是一个需要更新的版本，而不是项目可被攻击的证据。

5. 5

   始终保持最新

   新的提交会在下次访问时读取。新的安全公告在 OSV 发布后几分钟内就会到达它影响的每个仓库。

每个仓库的页面都会给你一个徽章，显示它的答案，并随答案变化。把 owner/repo 换成你的仓库：

同样的答案以 JSON 提供，无需密钥：/v1/repos/owner/repo。也可作为 MCP 工具 check_repo 使用：https://istheinternetok.com/mcp。智能体需要知道的一切都在 /skill.md。