curl -sfL https://raw.githubusercontent.com/projectdiscovery/depx/main/scripts/install.sh | sh

git clone https://github.com/projectdiscovery/depx.git
cd depx
make build
./bin/depx --help

go install github.com/projectdiscovery/depx/cmd/depx@latest

depx --help

Usage:
  depx [flags]
  depx [command]

Available Commands:
  feed        Zeige kürzlich gemeldete bösartige Pakete (Karten)
  audit       Prüfe Abhängigkeiten auf bösartige Pakete (Standard: $HOME)
  github      Prüfe GitHub-Repositories über das Dependency-Graph-SBOM
  search      Suche bekannte bösartige Pakete nach Namen (lokaler Index)
  id          Advisory per ID nachschlagen
  version     Version anzeigen und auf Updates prüfen
  update      depx auf die neueste Version aktualisieren

Global flags:
  -j, --json                   Maschinenlesbare JSON-Ausgabe
  -V, --version                Version anzeigen und beenden
  -e, --ecosystem string       Suche auf ein Ökosystem beschränken (npm, PyPI, Go, ...)
  -v, --verbose                Zusätzliche audit/github-Details
      --silent                 Banner- und Versionsinformationen unterdrücken
      --no-color               ANSI-Farben deaktivieren
      --config string          Pfad zur Konfigurationsdatei
      --update                 depx auf die neueste Version aktualisieren
      --disable-update-check   Update-Prüfung deaktivieren

Standardbefehl (Intelligence-Dashboard):
      --since string           Feed-Zeitfenster (Standard: "3d")
  -n, --limit int              Obergrenze für Dashboard-/Feed-Einträge im Standardbefehl

depx feed:
      --since string           Feed-Zeitfenster (Standard: "3d")
  -n, --limit int              Ergebnislimit
      --list                   Eine Kopfzeile pro Ergebnis

depx search:
  -n, --limit int              Maximale Anzahl angezeigter Ergebnisse (Standard: 25)
      --list                   Eine Kopfzeile pro Ergebnis

depx audit / depx github:
      --require-clean          Exit-Code 1, wenn ein bösartiges Paket gefunden wird
      --exclude-pkg string     Datei mit ecosystem:package-Zeilen, die von den Ergebnissen ausgeschlossen werden
  -o, --output string          Exportdatei(en) in diesen Pfad oder Basisnamen schreiben
      --output-format string   Kommagetrennte Exportformate: json, csv, txt (Standard: json)
      --sarif-export string    SARIF-2.1.0-Bericht in diesen Pfad schreiben
      --sbom-export string     SBOM der geprüften Abhängigkeiten schreiben (nur audit)
      --sbom-format string     SBOM-Format: cyclonedx (Standard) oder spdx

depx github:
  -n, --limit int              Maximale Anzahl Repos bei Org-/Benutzer-Zielen (Standard: 100 mit Token, 10 ohne)

depx id:
      --raw                    Nur roher OSV-Datensatz

depx                    # dashboard for last 3 days
depx --since 7d         # widen the time window
depx -e npm             # npm-only dashboard
depx feed               # card feed (no dashboard)
depx feed --list        # one line per advisory
depx -j                 # JSON for dashboards / pipelines

depx audit              # sweep $HOME for projects + global installs
depx audit ./my-app     # a single project tree
depx audit ./bom.cdx.json   # a CycloneDX / SPDX file

depx audit ./my-app --exclude-pkg .depxignore
depx github google --exclude-pkg .depxignore

# .depxignore: packages to exclude from findings
npm:internal-tool
PyPI:requests
*:shared-lib        # '*' matches any ecosystem

depx github projectdiscovery/depx
depx github google
depx github

depx npm:lodash
depx id MAL-2026-4343
depx search redhat

depx audit . --require-clean        # fail the build if anything is malicious
depx github google --require-clean -j

{
  "schema_version": "1",
  "command": "check",
  "depx_version": "v0.1.0",
  "data": {
    "total": 1,
    "results": [
      {
        "ref": "npm:evil-pkg",
        "purl": "pkg:npm/evil-pkg",
        "verdict": "malicious",
        "confidence": "high",
        "ids": ["MAL-2026-4343"],
        "package_ecosystem": "npm",
        "package_name": "evil-pkg",
        "registry_url": "https://www.npmjs.com/package/evil-pkg",
        "advisories": [
          {
            "id": "MAL-2026-4343",
            "url": "https://github.com/ossf/malicious-packages/blob/main/osv/npm/MAL-2026-4343.json",
            "summary": "Malicious code in evil-pkg (npm)",
            "modified_at": "2026-06-01T12:00:00Z",
            "published_at": "2026-06-01T10:00:00Z"
          }
        ]
      }
    ]
  }
}