Revera

npm पैकेजों के लिए क्रेडिट स्कोर।

Revera आपको यह तय करने में मदद करता है कि npm install चलाने से पहले कोई पैकेज इंस्टॉल करने लायक है या नहीं। यह पैकेज की गुणवत्ता, रखरखाव, सुरक्षा, इकोसिस्टम स्वास्थ्य और प्रकाशक विश्वास का विश्लेषण करता है — और अब आपके पूरे डिपेंडेंसी ग्राफ़ में जोखिम को ट्रांज़िटिव रूप से प्रचारित करता है — फिर एक व्याख्या योग्य, बायेसियन प्रतिष्ठा रिपोर्ट तैयार करता है।

---

डेमो

Revera को वास्तविक समय में पैकेजों की जाँच और व्याख्या करते हुए देखें।

---

त्वरित आरंभ

बिना इंस्टॉलेशन के तुरंत revera चलाएँ:

npx revera check react

---

उदाहरण

request जैसे पैकेज की जाँच करना (जिसे 2020 में डिप्रीकेट किया गया था) विशिष्ट कारणों के साथ तुरंत चेतावनी देता है:

$ revera why request

  ▲ revera EXPLAIN
  ──────────────────────────────────────────────────
  Package:   [email protected]
  Overall:   38/100  Not Recommended

  Score Breakdown

    Maintenance             15/100  ███░░░░░░░░░░░░░░░░░
                           Release cadence, commit activity, issue responsiveness, maintainer count

    Stability               90/100  ██████████████████░░
                           SemVer compliance, major version history, API volatility over time

    Security               100/100  ████████████████████
                           Known CVEs, install scripts, repository transparency

    Package Quality         40/100  ████████░░░░░░░░░░░░
                           README completeness, license, test coverage indicators, exports

    Ecosystem              100/100  ████████████████████
                           Weekly download volume, GitHub stars, community forks

    Documentation           90/100  ██████████████████░░
                           README length, code examples, API references, external docs presence

    Developer Experience    40/100  ████████░░░░░░░░░░░░
                           TypeScript support, ESM compatibility, CLI tooling

    Publisher Trust        100/100  ████████████████████
                           Known malicious releases, protestware history, supply-chain incidents

  Why it scores well
    +  Stable API (v1.0.0+)
    +  Low API volatility
    +  Zero known vulnerabilities
    +  Permissive open-source license
    +  Code examples in README
    +  Structured API documentation
    +  No known publisher trust incidents

  Minor deductions
    -  Last release was 59 months ago
    -  Single maintainer (bus factor of 1)
    -  Missing native type definitions
    -  Legacy CommonJS only
    -  No native typings (bad TypeScript DX)

  Warnings
    !  Last release: 59 months ago. No recent updates detected. This may be normal for mature, stable libraries.
    !  Package has been officially marked as deprecated by the maintainer.

  Verdict
    Request has low confidence. revera recommends looking for alternatives due to security, activity, or stability concerns.

---

इंस्टॉलेशन

किसी भी निर्देशिका से निष्पादन योग्य उपयोग करने के लिए वैश्विक रूप से इंस्टॉल करें:

npm install -g @aaravmaloo/revera

---

उपयोग

1. पैकेज प्रतिष्ठा जाँचें

किसी पैकेज का विश्लेषण करें और उच्च-स्तरीय सारांश रिपोर्ट प्राप्त करें:

revera check lodash

कैश की गई फ़ाइलों का उपयोग करके ऑफ़लाइन मोड में चलाएँ:

revera check express --offline

2. पैकेज रेटिंग स्पष्ट करें

स्कोर, सकारात्मक संकेतों और कटौतियों का गहन विवरण प्राप्त करें:

revera why node-ipc

3. स्क्रीनिंग और डिपेंडेंसी जोड़ें

इंस्टॉलेशन से पहले पैकेजों की स्क्रीनिंग करता है और जब प्रतिष्ठा आपके कॉन्फ़िगर किए गए थ्रेशोल्ड से नीचे गिरती है तो चेतावनी देता है:

revera add express

आप अपने पैकेज मैनेजर को सीधे फ़्लैग पास कर सकते हैं:

revera add typescript --save-dev

4. स्थानीय वर्कस्पेस ऑडिट करें

वर्तमान प्रोजेक्ट के सभी पैकेजों का ऑडिट करें (ट्रांज़िटिव डिपेंडेंसी सहित) और समग्र प्रोजेक्ट स्वास्थ्य स्कोर की गणना करें:

revera audit

केवल प्रोडक्शन डिपेंडेंसी ऑडिट करें:

revera audit --prod

केवल प्रत्यक्ष डिपेंडेंसी ऑडिट करें, ट्रांज़िटिव डिपेंडेंसी को छोड़ें:

revera audit --direct

5. GitHub प्रमाणीकरण

GitHub API दर सीमा बढ़ाने के लिए GitHub से प्रमाणित करें (अनाम 60/घंटा बनाम प्रमाणित 5,000/घंटा)। आप ब्राउज़र-आधारित OAuth2 या मैन्युअल रूप से Personal Access Token दर्ज करना चुन सकते हैं। एक बार अधिकृत होने के बाद, revera टोकन को आपके OS कीरिंग (Windows DPAPI, macOS Keychain, या Linux Secret Service) में सुरक्षित रूप से एन्क्रिप्ट और संग्रहीत करता है:

revera login

6. CLI सेटिंग्स

~/.revera/config.json में सहेजी गई स्थानीय सेटिंग्स प्रबंधित करें:

revera config
revera config set minScoreThreshold 75
revera config get minScoreThreshold

7. सिस्टम डॉक्टर

पर्यावरण सेटिंग्स, API स्थिति और नेटवर्क कनेक्शन विलंबता सत्यापित करें:

revera doctor

8. कैश नियंत्रण

स्थानीय मेटाडेटा कैश देखें या साफ़ करें:

revera cache
revera cache clear

9. अपडेट जाँच

सत्यापित करें कि आप revera इंजन का नवीनतम संस्करण चला रहे हैं:

revera update

---

तुलना

Feature	npm audit	osv-scanner	Socket	revera
CVE Vulnerabilities	✔	✔	✔	✔
Multiple Vuln DBs	✖	Partial	✔	✔
Ecosystem Reputation	✖	✖	Partial	✔
Explainable Scoring	✖	✖	Partial	✔
Publisher Trust Check	✖	✖	Partial	✔
Typosquat Detection	✖	✖	Partial	✔
Transitive Risk Propagation	✖	✖	✖	✔
Bayesian Confidence Intervals	✖	✖	✖	✔

---

स्कोरिंग इंजन (v2)

Revera v2 ने पुराने फ्लैट भारित-योग मॉडल को चार-चरणीय बायेसियन DAG पाइपलाइन से बदल दिया।

चरण 1 — डिपेंडेंसी ग्राफ़ (DAG)

प्रोजेक्ट के सभी डिपेंडेंसी को एक निर्देशित चक्रीय ग्राफ़ में हल किया जाता है। प्रत्येक नोड अपने पूर्ण ट्रांज़िटिव डिपेंडेंट सेट को ट्रैक करता है ताकि बाद के चरण सटीक ब्लास्ट रेडियस की गणना कर सकें।

lodash ──► your-app
express ──► your-app
axios ──► some-lib ──► your-app   ← transitive

चरण 2 — प्रति-पैकेज स्कोरिंग (बायेसियन बीटा पोस्टीरियर)

8 स्कोरिंग श्रेणियों में से प्रत्येक एक फ्लैट अनजाने बेसलाइन के बजाय आर्केटाइप-विशिष्ट प्रायर (framework, cli, types-only, utility) से शुरू होती है। देखे गए संकेत बीटा वितरण पोस्टीरियर को अपडेट करते हैं — जिसका अर्थ है कि टाइमआउट या लापता डेटा मौन रूप से "साफ" डिफ़ॉल्ट के बजाय विश्वसनीय अंतराल को चौड़ा करता है।