跳至主要內容
ITD網站資安平台
ITD
搜尋

相依套件漏洞掃描器

只需貼上 package.json、package-lock.json 或 pnpm-lock.yaml。每個 npm 套件都會與 OSV.dev（Google 營運的開放漏洞資料庫）進行比對，列出已知 CVE、嚴重程度以及修復版本。

解析全部在你的瀏覽器內完成。貼上的相依套件清單完全不經過本站伺服器，而是直接從你的瀏覽器傳送到 OSV.dev（CORS）。本站不會儲存、記錄或中轉這些資料。

使用工具

傳送
不傳送到本站
儲存
本站不儲存
外部API
向OSV.dev傳送套件名稱與版本
對象
僅查詢公開的（npm）套件
詳細說明
  • 僅在執行掃描時，瀏覽器會將從貼上清單中取出的npm套件名稱與版本直接傳送到OSV.dev（api.osv.dev），不經過本站伺服器。
  • OSV.dev會收到這些套件資訊與你的IP位址，並依OSV.dev自身的政策處理。
  • 請勿貼上包含不希望公開的內部套件名稱的清單。
  • 頁面本身的瀏覽會記錄在存取紀錄中（IP位址、時間、使用者代理等）。工具頁面不載入廣告與流量分析。 隱私權政策

貼上相依套件檔案並點擊「掃描」，結果會顯示在這裡。第一次使用？請點擊上方的「試用範例」。

使用方法

  1. 1

    貼上專案的 package.json，或 package-lock.json / pnpm-lock.yaml 的內容。

  2. 2

    點擊「掃描」後，每個套件都會與 OSV.dev 進行比對（lockfile 會判定實際鎖定的版本，package.json 則判定宣告的版本）。

  3. 3

    請核對各公告的狀態和依據。撤回、缺漏或矛盾的資訊不能確定影響或更新需求。請查閱原始公告；下方 AI 提示詞可協助整理查證事項。

為什麼重要

相依函式庫是「不是你寫的、卻要由你負責的程式碼」。Log4Shell 和 XZ 的入口都只是一個相依套件。OSV.dev 將 GitHub Advisory 與各生態系統的安全公告彙整成一個開放的漏洞資料庫，可依 npm 套件名稱 + 版本查詢已知 CVE。準確度取決於輸入——lockfile（鎖定了實際安裝的版本）最為準確，package.json 則是從宣告的版本範圍推測，僅供參考。本工具適用於「此刻的一次性檢查」；日常的防護是在 CI 中整合自動化的相依套件稽核（GitHub Dependabot / `pnpm audit` / osv-scanner）。本站自身也在每次部署前執行相依套件稽核，始終保持已知漏洞為零。

常見問題

Q我貼上的相依套件清單會被傳送到什麼地方嗎？
A

不會傳送到本站。解析在你的瀏覽器內進行，比對是透過 HTTPS 從你的瀏覽器直接傳送到 OSV.dev（api.osv.dev）。本站絕不儲存、記錄或中轉這些資料。

Q應該貼上 package.json 還是 lockfile？
A

若追求準確，請使用 lockfile（package-lock.json 或 pnpm-lock.yaml）：它反映實際安裝的鎖定版本，包括傳遞相依套件。package.json 是從宣告的版本範圍（^1.2.3 等）推測的，可作為快速參考。

Q顯示零漏洞就代表安全嗎？
A

不是。它無法偵測 OSV 尚未收錄的漏洞、設定錯誤以及你自己程式碼中的缺陷。這是針對已知 CVE 的初步檢查。持續的防護來自 CI 中的自動化稽核（Dependabot / pnpm audit / osv-scanner）。

Q支援哪些格式？
A

目前支援 npm 生態系統（package.json / package-lock.json / pnpm-lock.yaml）。yarn.lock 以及其他生態系統（PyPI、Go 等）尚不支援——OSV.dev 本身是支援多生態系統的，因此這是未來的擴充方向。

相關頁面