safer-dsh-market

检测报告

能力清单

• 含混淆或编码代码obfuscated-code需留意677 处命中
  • lib/client.js:65`)}m.write("payload.value = newResult;"),m.write("return payload;");let R=m.compile();return(M,D)=>R(g,M,D)},"generateFa…
  • lib/client.js:67Set the \`cycles\` parameter to \`"ref"\` to resolve cyclical schemas with defs.`)}for(let a of e.seen.entries()){let l=…
  • lib/client.js:69\u76EE\u6807 profile\uFF1A{profile}\u3002\u5148\u6838\u5B9E\u5F53\u524D\u4F1A\u8BDD\u6240\u5C5E\u5B9E\u4F8B\u53CA\u5176\…
  • lib/client.js:71\u3010\u8303\u56F4\u3011\u8FD9\u662F\u5B89\u88C5\u540E\u7684\u68C0\u67E5\uFF0C\u63D2\u4EF6\u53EF\u80FD\u5DF2\u7ECF\u6267…
  • 混淆本身不是恶意，但公开源码里出现大段混淆值得问一句为什么。
• 动态执行代码dynamic-code需留意1 处命中
  • lib/index.js:4var W=Object.defineProperty;var f=(e,t)=>W(e,"name",{value:t,configurable:!0});function h(e){return e==null}f(h,"isNulla…
  • 看 eval / new Function 的入参来自哪里。常量字符串和用户输入是两回事。
• 动态加载模块dynamic-import一般9 处命中
  • lib/index.js:4var W=Object.defineProperty;var f=(e,t)=>W(e,"name",{value:t,configurable:!0});function h(e){return e==null}f(h,"isNulla…
  • lib/types/client/BackToTop.d.ts:7}): import("react").JSX.Element | null;
  • …s/client/DirectInstallPanel.d.ts:16}): import("react").JSX.Element;
  • …/client/InstallModeSelector.d.ts:13}): import("react").JSX.Element;
  • 动态导入本身无害，但会让依赖关系难以静态审阅。
• 读取环境变量reads-env一般3 处命中
  • lib/plugin.js:142`,n)+1}return{type:t,offset:this.offset,indent:this.indent,source:this.source}}startBlockValue(t){switch(this.type){case…
  • lib/plugin.js:150`)}s(jx,"writePendingFile");var Dv=18e4,gc=8192;function Tx(e,t=process.platform){if(!yr.test(e)||/^[.-]/.test(e))throw …
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。
• 接触凭据或密钥credentials一般2 处命中
  • lib/client.js:2"use strict";var Nr=Object.defineProperty;var hm=Object.getOwnPropertyDescriptor;var vm=Object.getOwnPropertyNames;var _…
  • lib/plugin.js:142`,n)+1}return{type:t,offset:this.offset,indent:this.indent,source:this.source}}startBlockValue(t){switch(this.type){case…
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 46 个文件，扫描于 2026-10-21。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

可信度

• 0没有可扣分的项