依存パッケージ脆弱性スキャナ
package.json・package-lock.json・pnpm-lock.yaml の npm パッケージを OSV.dev で照合します。公告ごとに影響の可能性・撤回指定・未確認・不整合を表示し、確認できた修正版を参考情報として示します。実環境への影響は別途確認が必要です。
送るのは有効なパッケージ名と版です。ローカルパス・認証情報付きURLは照会対象にしません。社内パッケージの名前や版も送信対象になるため、公開できない依存情報は入力しないでください。
依存ファイルを貼り付けて「スキャン」を押すと、ここに結果が出ます。初めてなら上の「サンプルを試す」を押してください。
結果を見た後の確認・修正
package.jsonの宣言版は実際のインストール版と異なる場合があります。lockfile、公式の修正情報、保守系列を確認し、更新後にテストと依存監査を再実行してください。
使い方
- 1
プロジェクトの package.json、または package-lock.json / pnpm-lock.yaml の中身を貼り付けます。
- 2
「スキャン」を押すと、各パッケージを OSV.dev で照合します（lockfile なら実際に固定された版を、package.json なら宣言版を判定）。
- 3
各公告の状態と根拠を確認します。撤回・未確認・不整合は影響ありと断定せず、更新が必要か原典で確認してください。下のAI用指示文でも確認事項を整理できます。
なぜ重要か
よくある質問
Q貼り付けた依存リストはどこかに送られますか？
当サイトのサーバーには送られません。解析はブラウザ内で行い、照合はお使いのブラウザから OSV.dev（api.osv.dev）へ直接 HTTPS で問い合わせます。当サイト側で保存・記録・中継は一切しません。
Qpackage.json と lockfile、どちらを貼るべき？
固定された版を照合するには lockfile（package-lock.json か pnpm-lock.yaml）を使います。対応形式では推移的依存も照合しますが、実環境での利用機能・設定・悪用可否まで確認するものではありません。package.json は宣言レンジ（^1.2.3 等）からの推定なので目安です。
Q脆弱性ゼロと出れば安全ですか？
いいえ。OSV に未登録の脆弱性、設定不備、自作コードの欠陥は検出できません。これは「既知のCVEが当たっていないか」の一次点検です。継続的な守りは CI への自動監査（Dependabot / pnpm audit / osv-scanner）が本命です。
Q対応していない形式はありますか？
現在は npm エコシステム（package.json / package-lock.json / pnpm-lock.yaml）に対応しています。yarn.lock やその他の言語（PyPI・Go 等）は未対応です。OSV.dev 自体は多言語対応なので、将来の拡張候補です。