### Nix```bash
nix profile install github:brennhill/sloppy-joe

### 2. Typosquattage (vérifications génératives + fallback par distance d'édition)

**L'attaque :** Un attaquant enregistre `expresz` sur npm — à un caractère près de `express`. L'IA le génère, ou un développeur le tape mal. Le paquet existe, réussit le contrôle d'existence, et installe un logiciel malveillant.

**Comment sloppy-joe le bloque :** sloppy-joe exécute 10 vérifications génératives avant de recourir à la distance d'édition. Chaque vérification générative produit une mutation spécifique du nom de la dépendance (échanger des caractères, compresser les répétitions, supprimer les suffixes, réordonner les mots, normaliser les séparateurs, remplacer les homoglyphes, vérifier les scopes) et teste une correspondance exacte avec les paquets populaires connus. Cette approche, inspirée de la bibliothèque [Typomania de la Rust Foundation](https://github.com/rustfoundation/typomania), présente un taux de faux positifs quasi nul car elle ne se déclenche que sur des correspondances exactes après mutation.

La distance d'édition de Levenshtein s'exécute en dernier comme filet de sécurité pour les mutations inédites qu'aucune vérification spécifique n'a anticipées. Ensemble, elles couvrent à la fois les schémas d'attaque connus (précisément) et inconnus (largement).```
ERROR expresz [similarity/edit-distance]
      'expresz' is 1 character away from 'express'. This could be a typosquat.
 Fix: If you meant 'express', fix the name in your manifest.

### 4. Confusion de séparateur

**L'attaque:** `python-dateutil` vs `python_dateutil` vs `pythondateutil`. Sur certains registres, ce sont des paquets différents. Un attaquant enregistre la variante.

**Comment sloppy-joe le bloque:** Normalise tous les séparateurs (`-`, `_`, `.`) avant la comparaison. Si la forme normalisée correspond à un paquet connu, elle est signalée.```
ERROR socket_io [similarity/separator-confusion]
      'socket_io' matches 'socket.io' after normalizing separators.
 Fix: Use the canonical name 'socket.io' with the correct separators.

### 6. Échanges de caractères adjacents

**L'attaque :** `reqeust` au lieu de `request`. Deux caractères adjacents transposés — une faute de frappe courante que les attaquants exploitent.

**Comment sloppy-joe le bloque :** Génère toutes les variantes de permutation de caractères adjacents du nom de la dépendance et vérifie chacune par rapport au corpus.```
ERROR reqeusts [similarity/char-swap]
      'reqeusts' matches 'requests' with two adjacent characters swapped.
 Fix: Use 'requests' — two characters are transposed.

### 8. Homoglyphes (similitudes visuelles)

**L'attaque :** `rеquests` avec un `е` cyrillique (U+0435) au lieu du `e` latin (U+0065). Visuellement identique. Le nom du paquet ressemble exactement à `requests` mais renvoie vers un paquet malveillant différent.

**Comment sloppy-joe le bloque :** Remplace 17 caractères homoglyphes connus (cyrilliques, pleine largeur, variantes script) par leurs équivalents latins et vérifie si le résultat correspond à un paquet connu.```
ERROR rеquests [similarity/homoglyph]
      'rеquests' contains characters that look identical to 'requests'
      but are different Unicode codepoints (homoglyphs).
 Fix: Replace the lookalike characters with standard ASCII.

### 10. Attaques par variante de casse (registres sensibles à la casse)

**L'attaque :** Sur Go, Maven et Ruby, `Rails` et `rails` sont des packages différents. Un attaquant enregistre la variante en majuscule.

**Comment sloppy-joe le bloque :** Sur les registres sensibles à la casse, toute variante de casse d'un package connu est signalée comme une erreur. Sur les registres insensibles à la casse (npm, PyPI, Cargo, NuGet, PHP), les variantes de casse sont sûres et ignorées.```
ERROR Rails [similarity/case-variant]
      'Rails' differs from 'rails' only in letter casing.
      On case-sensitive registries (ruby) these resolve to different packages.
 Fix: Use the exact casing 'rails' in your manifest.

### 12. Usurpation de scope (npm, PHP, Go, JVM)

**L'attaque :** Un attaquant enregistre `@typos/lodash` sur npm — un caractère de différence avec `@types/lodash`. Ou `larvael/framework` sur Packagist — deux caractères de `laravel/framework`. Ou `github.com/gooogle/protobuf` sur Go — un `o` supplémentaire. Le scope semble légitime à première vue. Le paquet résout. Le malware s'installe.

C'est rare mais plausible — et « rare mais plausible » est exactement ce pour quoi sloppy-joe existe. L'incident `ua-parser-js` en 2021 était lié au scope. Si cela peut arriver à un paquet avec des millions de téléchargements hebdomadaires, cela peut arriver au vôtre.

**Comment sloppy-joe le bloque :** Extrait le scope/namespace du nom de dépendance et le compare à une liste de scopes connus comme fiables en utilisant la distance d'édition. Fonctionne sur npm (`@scope`), PHP (`vendor/`), Go (`github.com/org`), et JVM (`com.group`).```
ERROR @typos/lodash [similarity/scope-squatting]
      Scope '@typos' is 1 character away from the known scope '@types'.
      Scope squatting is a known supply chain attack vector.
 Fix: If you meant '@types/lodash', fix the scope in your manifest.

### 13. Paquets non canoniques (pas une attaque — une barrière de cohérence)

**L'attaque :** Pas une attaque — un problème de cohérence. L'IA choisit `moment` parce qu'il était populaire dans les données d'entraînement, mais votre équipe utilise `dayjs`. Des équipes différentes utilisant des paquets différents pour la même tâche créent une dette de maintenance et un gonflement des dépendances.

**Comment sloppy-joe le bloque :** Votre configuration associe chaque paquet canonique à ses alternatives rejetées. Si une dépendance correspond à une alternative, la construction échoue.```
ERROR moment [canonical]
      'moment' is not the approved package for this purpose.
      Your team uses 'dayjs'.
 Fix: Replace 'moment' with 'dayjs' in your manifest file.

### 15. Paquets flambant neufs

**L'attaque :** Un paquet créé hier avec 3 téléchargements et dont le nom ressemble à celui d'un paquet populaire. Forte probabilité qu'il s'agisse d'un typosquatting ou d'un espace réservé pour une future attaque.

**Comment sloppy-joe le bloque :** Signale tout paquet créé il y a moins de 30 jours.```
ERROR sketchy-lib [metadata/new-package]
      'sketchy-lib' was first published 2 days ago.
      New packages are higher risk.
 Fix: Verify 'sketchy-lib' at its registry page and source repository.

---

## Écosystèmes pris en charge

| Écosystème | Manifeste | Politique de verrouillage | Existence | Métadonnées | Filtrage par âge |
|-----------|----------|-----------------|:---------:|:--------:|:--------:|
| npm | package.json | `package-lock.json` ou `npm-shrinkwrap.json` requis | :white_check_mark: | :white_check_mark: | :white_check_mark: |
| PyPI | `pyproject.toml`, `requirements*.txt`, `Pipfile`, `setup.cfg`, `setup.py` | Poetry est approuvé avec `poetry.lock`, uv est approuvé avec `uv.lock`, pip-tools à verrouillage complet par hachage n'est approuvé que lorsque le graphe de dépendances commité lie `--index-url` et des valeurs `--extra-index-url` explicitement autorisées, et les index personnalisés Poetry/uv visibles dans le dépôt ne peuvent être approuvés que par la liste blanche exacte `trusted_indexes.pypi` ; les manifestes hérités émettent un avertissement à chaque exécution sauf si `python_enforcement` est `poetry_only` | :white_check_mark: | :white_check_mark: | :white_check_mark: |
| Cargo | Cargo.toml | `Cargo.lock` requis | :white_check_mark: | :white_check_mark: | :white_check_mark: |
| Go | go.mod | `go.sum` requis pour les dépendances externes ; non requis pour la stdlib seule ou pour les `replace` tous locaux | :white_check_mark: | :x: | :x: |
| Ruby | Gemfile | `Gemfile.lock` requis | :white_check_mark: | :white_check_mark: | :white_check_mark: |
| PHP | composer.json | `composer.lock` requis | :white_check_mark: | :x: | :x: |
| JVM (Gradle) | build.gradle / build.gradle.kts | `gradle.lockfile` requis | :white_check_mark: | :white_check_mark: | :white_check_mark: |
| JVM (Maven) | pom.xml | avertissement uniquement : pas d'application stricte du fichier de verrouillage | :white_check_mark: | :white_check_mark: | :white_check_mark: |
| .NET | *.csproj | `packages.lock.json` requis | :white_check_mark: | :x: | :x: |

Tous les écosystèmes bénéficient des vérifications d'existence, de similarité et de canonicité. Les métadonnées et le filtrage par âge dépendent de ce que l'API du registre expose. Le support des fichiers de verrouillage permet l'analyse des dépendances transitives et la résolution exacte des versions lorsque l'écosystème fournit un modèle de fichier de verrouillage local au projet digne de confiance.

## Démarrage rapide```bash
# Install
cargo install sloppy-joe

# Check current project (auto-detects ecosystem)
sloppy-joe check

# Check with canonical enforcement and age gate
sloppy-joe check --config /etc/sloppy-joe/config.json

# Output as JSON for CI
sloppy-joe check --json

**`canonical`** — les clés sont les paquets approuvés ; les valeurs sont les alternatives rejetées.

**`internal`** — les paquets de votre organisation. Ignorer TOUS les contrôles. Ceux-ci changent constamment.

**`allowed`** — paquets externes vérifiés. Ignorer l'existence + la similarité, mais toujours soumis à la barrière d'âge de version.

**`similarity_exceptions`** — suppressions exactes de paquet/candidat/générateur pour les faux positifs de similarité examinés. Utilisez ceci lorsque un bord de similarité spécifique est incorrect mais que vous souhaitez toujours les contrôles normaux sur le paquet.

**`metadata_exceptions`** — suppressions exactes de métadonnées examinées. Actuellement, cela ne prend en charge que `metadata/maintainer-change`, et nécessite une correspondance exacte paquet/version/éditeur-précédent/éditeur-actuel.

Utilisez `sloppy-joe check --review-exceptions` lorsque vous devez examiner les bloqueurs de changement de mainteneur. L'analyse bloque toujours normalement, mais la sortie humaine ajoute une section `REVIEW EXCEPTIONS` avec les propriétaires, l'URL du dépôt et un extrait prêt à coller `metadata_exceptions`. `--json` inclut les mêmes données dans un champ de premier niveau `review_candidates`.

**`min_version_age_hours`** — bloquer toute version publiée il y a moins de ce nombre d'heures. Défaut : 72 (3 jours). Mettre à 0 pour désactiver. Les paquets internes sont exemptés.

**`allow_legacy_npm_v1_lockfile`** — autoriser les lockfiles npm `lockfileVersion: 1` de npm v5/v6 en mode confiance réduite. Défaut : `false`. Gardez-le désactivé sauf si vous êtes intentionnellement bloqué sur un npm hérité et acceptez des avertissements bruyants plus une couverture transitive npm de confiance réduite.

**`python_enforcement`** — contrôle la politique de confiance Python. `prefer_poetry` (défaut) fait confiance aux projets Poetry et uv, fait confiance aux exigences pip-tools entièrement verrouillées par hachage uniquement lorsque le graphe des exigences validé lie exactement `--index-url` et toutes les valeurs non-PyPI `--extra-index-url`, et sinon rétrograde pip-tools en confiance réduite. Les manifestes hérités comme `requirements*.txt` non hachés, `Pipfile`, `setup.cfg`, `setup.py` et `pyproject.toml` non-Poetry/non-uv avertissent à chaque exécution. `poetry_only` bloque ces workflows Python non-Poetry et exige Poetry.

### Config Security

La configuration n'est **jamais lue depuis le répertoire du projet**. Un agent IA avec accès shell pourrait réécrire une configuration dans le dépôt pour mettre en liste blanche tout ce qu'il veut.

Résolution de la configuration :
1. `--config /path/to/config.json` — fichier local (drapeau CLI, priorité la plus élevée)
2. `--config https://example.com/config.json` — récupérer depuis une URL
3. `SLOPPY_JOE_CONFIG=...` — variable d'environnement (chemin de fichier ou URL)
4. Pas de configuration = contrôles d'existence + similarité + métadonnées uniquement

Les configurations malformées **échouent durement** avec des messages d'erreur exploitables — une configuration cassée ne revient jamais silencieusement à aucune protection.

Voir [CONFIG.md](https://github.com/brennhill/sloppy-joe/blob/main/CONFIG.md) pour la référence complète du format, les modèles d'intégration CI et des exemples.

Configuration d'amorçage :```bash
sloppy-joe init --greenfield --ecosystem npm
sloppy-joe init --from-current
sloppy-joe init --from-current --register
sloppy-joe init --register

#### Entrées d'action

| Entrée | Description | Défaut |
|--------|-------------|--------|
| `config` | Chemin du fichier de configuration ou URL HTTPS | *(aucun)* |
| `dir` | Répertoire du projet à analyser | `.` |
| `type` | Écosystème (`npm`, `pypi`, `cargo`, `go`, `ruby`, `php`, `jvm`, `dotnet`) | auto-détection |
| `deep` | Activer les vérifications de similarité des dépendances transitives | `false` |
| `paranoid` | Activer les mutations bitflip | `false` |
| `args` | Arguments CLI supplémentaires | *(aucun)* |
| `version` | Version de sloppy-joe à installer | `latest` |

#### Exemples```yaml
# Minimal — CI-oriented scan, auto-detect ecosystem, no config
- uses: brennhill/[email protected]

# With org config from a URL
- uses: brennhill/[email protected]
  with:
    config: https://raw.githubusercontent.com/yourorg/configs/main/sloppy-joe.json

# Deep scan with paranoid mode
- uses: brennhill/[email protected]
  with:
    config: ${{ secrets.SLOPPY_JOE_CONFIG }}
    deep: true
    paranoid: true

# Scan a subdirectory, pin to a specific version
- uses: brennhill/[email protected]
  with:
    dir: ./packages/api
    version: '1.1.0'

### pre-commit

sloppy-joe fonctionne avec le framework [pre-commit](https://pre-commit.com).
Ajoutez-le à votre `.pre-commit-config.yaml` :```yaml
# .pre-commit-config.yaml
repos:
  - repo: https://github.com/brennhill/sloppy-joe
    rev: v1.1.0
    hooks:
      - id: sloppy-joe

Ou utilisez un simple shell hook sans le framework :```bash
#!/bin/sh
sloppy-joe check || exit 1

Similarité exécute 4 phases :
- **Phase 0 : Squatting de scope** — vérification locale, pas de réseau. Compare le scope/namespace avec les scopes connus via la distance de Levenshtein.
- **Phase 1 : Intra-manifeste** — vérification locale. Signale lorsque deux dépendances dans le même manifeste sont des mutations l'une de l'autre.
- **Phase 2 : Requête au registre** — génère des mutations, interroge le registre par lots pour l'existence, met en cache les résultats (TTL de 7 jours).
- **Phase 3 : Enrichissement des métadonnées** — récupère les compteurs de téléchargements et les dates de publication pour les correspondances afin d'ajouter des preuves aux rapports.

Chaque générateur de mutation étiquette sa sortie, de sorte que le type de vérification signalé (par exemple, `similarity/homoglyph`) est déterministe — le générateur de plus haute sévérité l'emporte lorsque plusieurs générateurs produisent le même candidat.

## Fiabilité CI

sloppy-joe est conçu pour les pipelines CI où les échecs intermittents sont inacceptables.

**Nouvelle tentative avec backoff.** Tous les appels HTTP au registre sont retentés 3 fois avec un backoff exponentiel (200ms, 400ms, 800ms) en cas d'échecs transitoires (5xx, timeouts, erreurs de connexion). Un simple incident réseau ne fera pas échouer votre build.

**Échec fermé en cas d'erreurs de requête.** Si les requêtes au registre ou à OSV échouent, sloppy-joe émet une erreur bloquante `registry-unreachable` au lieu d'ignorer silencieusement les vérifications. L'analyse ne repose plus sur des seuils par écosystème ou des limites de taille d'échantillon avant de bloquer.

**Cache de similarité.** Les résultats d'existence des mutations sont mis en cache pendant 7 jours. Après la première analyse, la plupart des requêtes sont servies depuis le cache sans aucun appel réseau. Seules les nouvelles dépendances déclenchent des requêtes au registre.

**Résolution consciente des lockfiles.** Lorsqu'un lockfile pris en charge et fiable est présent (`package-lock.json`, `npm-shrinkwrap.json`, `Cargo.lock`, `Gemfile.lock`, `poetry.lock` pour les projets Poetry, `uv.lock` pour les projets uv, `composer.lock`, `gradle.lockfile`, `packages.lock.json`), sloppy-joe résout les versions exactes à partir de celui-ci au lieu de les déduire des plages. Les `requirements*.txt` entièrement verrouillés par hachage peuvent également fournir des versions exactes épinglées, et ils deviennent totalement fiables lorsque le graphe de dépendances commité lie son propre `--index-url` et les valeurs exactes de `--extra-index-url` autorisées.

## Tests

La suite de tests couvre les vérifications de similarité, les signaux de métadonnées, le comportement OSV, l'analyse et la validation de la configuration, la résolution des lockfiles, la politique de pré-vérification des manifestes et lockfiles, le formatage des rapports et la logique de nouvelle tentative HTTP.```bash
cargo test