### Nix```bash
nix profile install github:brennhill/sloppy-joe

### 2. टाइपोस्क्वाटिंग (जनरेटिव जाँच + एडिट डिस्टेंस फ़ॉलबैक)

**हमला:** एक हमलावर npm पर `expresz` रजिस्टर करता है — `express` से एक अक्षर बदलकर। AI इसे जनरेट करता है, या कोई डेवलपर टाइप करने में गलती करता है। पैकेज मौजूद है, मौजूदगी की जाँच पास करता है, और मैलवेयर इंस्टॉल करता है।

**sloppy-joe इसे कैसे रोकता है:** sloppy-joe एडिट डिस्टेंस पर जाने से पहले 10 जनरेटिव जाँच चलाता है। प्रत्येक जनरेटिव जाँच डिपेंडेंसी नाम का एक विशिष्ट म्यूटेशन उत्पन्न करती है (अक्षर स्वैप करें, दोहराव को संक्षिप्त करें, प्रत्यय हटाएँ, शब्दों को पुनर्क्रमित करें, विभाजकों को सामान्य करें, होमोग्लिफ़ बदलें, स्कोप जाँचें) और ज्ञात लोकप्रिय पैकेजों के विरुद्ध सटीक मिलान का परीक्षण करती है। यह दृष्टिकोण, [रस्ट फाउंडेशन की टाइपोमैनिया](https://github.com/rustfoundation/typomania) लाइब्रेरी से प्रेरित है, जिसमें लगभग शून्य गलत-सकारात्मक परिणाम होते हैं क्योंकि यह म्यूटेशन के बाद केवल सटीक मिलान पर ही काम करता है।

लेवेनश्टाइन एडिट डिस्टेंस अंतिम सुरक्षा जाल के रूप में चलता है, उन नए म्यूटेशनों के लिए जिनकी किसी विशिष्ट जाँच ने कल्पना नहीं की थी। साथ में, वे ज्ञात हमले पैटर्न (सटीक रूप से) और अज्ञात पैटर्न (व्यापक रूप से) दोनों को कवर करते हैं।```
ERROR expresz [similarity/edit-distance]
      'expresz' is 1 character away from 'express'. This could be a typosquat.
 Fix: If you meant 'express', fix the name in your manifest.

### 4. विभाजक भ्रम

**हमला:** `python-dateutil` बनाम `python_dateutil` बनाम `pythondateutil`। कुछ रजिस्ट्रियों पर, ये अलग-अलग पैकेज होते हैं। हमलावर वेरिएंट को पंजीकृत करता है।

**sloppy-joe इसे कैसे रोकता है:** तुलना से पहले सभी विभाजकों (`-`, `_`, `.`) को सामान्य करता है। यदि सामान्यीकृत रूप किसी ज्ञात पैकेज से मेल खाता है, तो इसे चिह्नित किया जाता है।```
ERROR socket_io [similarity/separator-confusion]
      'socket_io' matches 'socket.io' after normalizing separators.
 Fix: Use the canonical name 'socket.io' with the correct separators.

### 6. आसन्न अक्षर अदला-बदली

**हमला:** `request` के बजाय `reqeust`। दो आसन्न अक्षरों को आपस में बदलना — एक सामान्य टाइपो जिसका हमलावर शोषण करते हैं।

**sloppy-joe इसे कैसे रोकता है:** निर्भरता नाम के सभी आसन्न-अदला-बदली रूपांतर उत्पन्न करता है और प्रत्येक को कोष के विरुद्ध जांचता है।```
ERROR reqeusts [similarity/char-swap]
      'reqeusts' matches 'requests' with two adjacent characters swapped.
 Fix: Use 'requests' — two characters are transposed.

### 8. होमोग्लिफ़ (दृश्य समानताएं)

**हमला:** `rеquests` जिसमें लैटिन `e` (U+0065) के बजाय सिरिलिक `е` (U+0435) है। देखने में समान। पैकेज का नाम बिल्कुल `requests` जैसा दिखता है लेकिन एक अलग, दुर्भावनापूर्ण पैकेज को संदर्भित करता है।

**sloppy-joe इसे कैसे रोकता है:** 17 ज्ञात होमोग्लिफ़ वर्णों (सिरिलिक, पूर्ण-चौड़ाई, स्क्रिप्ट वेरिएंट) को उनके लैटिन समकक्षों से बदलता है और जाँचता है कि परिणाम किसी ज्ञात पैकेज से मेल खाता है या नहीं।```
ERROR rеquests [similarity/homoglyph]
      'rеquests' contains characters that look identical to 'requests'
      but are different Unicode codepoints (homoglyphs).
 Fix: Replace the lookalike characters with standard ASCII.

### 10. केस-वेरिएंट हमले (केस-संवेदनशील रजिस्ट्रियाँ)

**हमला:** Go, Maven और Ruby पर, `Rails` और `rails` अलग-अलग पैकेज हैं। एक हमलावर कैपिटलाइज़्ड वेरिएंट को पंजीकृत करता है।

**sloppy-joe इसे कैसे रोकता है:** केस-संवेदनशील रजिस्ट्रियों पर, किसी ज्ञात पैकेज का कोई भी केस वेरिएंट एक त्रुटि के रूप में चिह्नित किया जाता है। केस-असंवेदनशील रजिस्ट्रियों (npm, PyPI, Cargo, NuGet, PHP) पर, केस वेरिएंट सुरक्षित होते हैं और उन्हें छोड़ दिया जाता है।```
ERROR Rails [similarity/case-variant]
      'Rails' differs from 'rails' only in letter casing.
      On case-sensitive registries (ruby) these resolve to different packages.
 Fix: Use the exact casing 'rails' in your manifest.

### 12. स्कोप स्क्वाटिंग (npm, PHP, Go, JVM)

**हमला:** एक हमलावर npm पर `@typos/lodash` पंजीकृत करता है — `@types/lodash` से एक अक्षर का अंतर। या Packagist पर `larvael/framework` — `laravel/framework` से दो अक्षर का अंतर। या Go पर `github.com/gooogle/protobuf` — एक अतिरिक्त `o`। स्कोप पहली नज़र में वैध लगता है। पैकेज रिज़ॉल्व हो जाता है। मैलवेयर इंस्टॉल हो जाता है।

यह दुर्लभ लेकिन संभावित है — और "दुर्लभ लेकिन संभावित" ठीक वही है जिसके लिए sloppy-joe मौजूद है। 2021 में `ua-parser-js` घटना स्कोप-संबंधित थी। यदि यह लाखों साप्ताहिक डाउनलोड वाले पैकेज के साथ हो सकता है, तो यह आपके साथ भी हो सकता है।

**sloppy-joe इसे कैसे रोकता है:** निर्भरता नाम से स्कोप/नेमस्पेस निकालता है और संपादन दूरी का उपयोग करके ज्ञात-अच्छे स्कोप की सूची से तुलना करता है। npm (`@scope`), PHP (`vendor/`), Go (`github.com/org`), और JVM (`com.group`) पर काम करता है।```
ERROR @typos/lodash [similarity/scope-squatting]
      Scope '@typos' is 1 character away from the known scope '@types'.
      Scope squatting is a known supply chain attack vector.
 Fix: If you meant '@types/lodash', fix the scope in your manifest.

### 13. गैर-विहित पैकेज (हमला नहीं — एक संगति द्वार)

**हमला:** हमला नहीं — एक संगति समस्या। AI `moment` चुनता है क्योंकि यह प्रशिक्षण डेटा में लोकप्रिय था, लेकिन आपकी टीम `dayjs` का उपयोग करती है। एक ही काम के लिए अलग-अलग टीमों द्वारा विभिन्न पैकेजों का उपयोग करने से रखरखाव ऋण और निर्भरता ब्लोट उत्पन्न होता है।

**sloppy-joe इसे कैसे रोकता है:** आपका कॉन्फिग प्रत्येक विहित पैकेज को उसके अस्वीकृत विकल्पों से मैप करता है। यदि कोई निर्भरता किसी विकल्प से मेल खाती है, तो बिल्ड विफल हो जाता है।```
ERROR moment [canonical]
      'moment' is not the approved package for this purpose.
      Your team uses 'dayjs'.
 Fix: Replace 'moment' with 'dayjs' in your manifest file.

### 15. बिल्कुल नए पैकेज

**हमला:** एक पैकेज जो कल बनाया गया है, जिसके 3 डाउनलोड हैं और जिसका नाम किसी लोकप्रिय पैकेज के समान है। इसके टाइपोस्क्वाट या भविष्य के हमले के लिए प्लेसहोल्डर होने की उच्च संभावना है।

**sloppy-joe इसे कैसे रोकता है:** 30 दिन से कम पहले बनाए गए किसी भी पैकेज को फ़्लैग करता है।```
ERROR sketchy-lib [metadata/new-package]
      'sketchy-lib' was first published 2 days ago.
      New packages are higher risk.
 Fix: Verify 'sketchy-lib' at its registry page and source repository.

---

## समर्थित पारिस्थितिकी तंत्र

| पारिस्थितिकी तंत्र | मैनिफेस्ट | लॉकफ़ाइल नीति | अस्तित्व | मेटाडेटा | आयु प्रवेश |
|-----------|----------|-----------------|:---------:|:--------:|:--------:|
| npm | package.json | `package-lock.json` या `npm-shrinkwrap.json` आवश्यक | :white_check_mark: | :white_check_mark: | :white_check_mark: |
| PyPI | `pyproject.toml`, `requirements*.txt`, `Pipfile`, `setup.cfg`, `setup.py` | Poetry को `poetry.lock` के साथ विश्वसनीय माना जाता है, uv को `uv.lock` के साथ विश्वसनीय माना जाता है, पूरी तरह हैश-लॉक किया गया pip-tools केवल तभी विश्वसनीय होता है जब प्रतिबद्ध निर्भरता ग्राफ `--index-url` और सटीक अनुमोदित `--extra-index-url` मानों को बाध्य करता है, और भंडार-दृश्यमान Poetry/uv कस्टम इंडेक्स केवल सटीक `trusted_indexes.pypi` अनुमति सूची द्वारा विश्वसनीय हो सकते हैं; विरासती मैनिफेस्ट प्रत्येक बार चेतावनी देते हैं जब तक `python_enforcement` `poetry_only` न हो | :white_check_mark: | :white_check_mark: | :white_check_mark: |
| Cargo | Cargo.toml | `Cargo.lock` आवश्यक | :white_check_mark: | :white_check_mark: | :white_check_mark: |
| Go | go.mod | बाहरी निर्भरता के लिए `go.sum` आवश्यक; केवल stdlib या सभी-स्थानीय `replace` के लिए आवश्यक नहीं | :white_check_mark: | :x: | :x: |
| Ruby | Gemfile | `Gemfile.lock` आवश्यक | :white_check_mark: | :white_check_mark: | :white_check_mark: |
| PHP | composer.json | `composer.lock` आवश्यक | :white_check_mark: | :x: | :x: |
| JVM (Gradle) | build.gradle / build.gradle.kts | `gradle.lockfile` आवश्यक | :white_check_mark: | :white_check_mark: | :white_check_mark: |
| JVM (Maven) | pom.xml | केवल चेतावनी: कोई सख्त लॉकफ़ाइल प्रवर्तन नहीं | :white_check_mark: | :white_check_mark: | :white_check_mark: |
| .NET | *.csproj | `packages.lock.json` आवश्यक | :white_check_mark: | :x: | :x: |

सभी पारिस्थितिकी तंत्रों को अस्तित्व + समानता + प्रामाणिकता जांच प्राप्त होती है। मेटाडेटा और आयु प्रवेश रजिस्ट्री API द्वारा उजागर की गई चीज़ों पर निर्भर करता है। लॉकफ़ाइल समर्थन संक्रमणीय निर्भरता स्कैनिंग और सटीक संस्करण समाधान को सक्षम बनाता है, जहां पारिस्थितिकी तंत्र एक विश्वसनीय प्रोजेक्ट-स्थानीय लॉकफ़ाइल मॉडल प्रदान करता है।

## त्वरित आरंभ```bash
# Install
cargo install sloppy-joe

# Check current project (auto-detects ecosystem)
sloppy-joe check

# Check with canonical enforcement and age gate
sloppy-joe check --config /etc/sloppy-joe/config.json

# Output as JSON for CI
sloppy-joe check --json

**`canonical`** — कुंजियाँ अनुमोदित पैकेज हैं; मान अस्वीकृत विकल्प हैं।

**`internal`** — आपके संगठन के पैकेज। सभी जाँचों को छोड़ें। ये लगातार बदलते रहते हैं।

**`allowed`** — जाँचे गए बाहरी पैकेज। अस्तित्व + समानता छोड़ें, लेकिन फिर भी संस्करण आयु द्वार के अधीन।

**`similarity_exceptions`** — समीक्षित समानता झूठी सकारात्मकताओं के लिए सटीक पैकेज/उम्मीदवार/जनरेटर दमन। इसका उपयोग करें जब एक विशिष्ट समानता किनारा गलत हो लेकिन आप अभी भी पैकेज पर सामान्य जाँच चाहते हों।

**`metadata_exceptions`** — सटीक समीक्षित मेटाडेटा दमन। वर्तमान में यह केवल `metadata/maintainer-change` का समर्थन करता है, और इसके लिए सटीक पैकेज/संस्करण/पिछला-प्रकाशक/वर्तमान-प्रकाशक मिलान आवश्यक है।

जब आपको रखरखाव-परिवर्तन अवरोधों की समीक्षा करने की आवश्यकता हो तो `sloppy-joe check --review-exceptions` का उपयोग करें। स्कैन सामान्य रूप से अवरुद्ध करता रहता है, लेकिन मानव आउटपुट में मालिकों, रिपॉजिटरी URL और पेस्ट करने के लिए तैयार `metadata_exceptions` स्निपेट के साथ एक `REVIEW EXCEPTIONS` अनुभाग जोड़ता है। `--json` शीर्ष-स्तरीय `review_candidates` फ़ील्ड में समान डेटा शामिल करता है।

**`min_version_age_hours`** — इससे कम घंटे पहले प्रकाशित किसी भी संस्करण को अवरुद्ध करें। डिफ़ॉल्ट: 72 (3 दिन)। अक्षम करने के लिए 0 पर सेट करें। आंतरिक पैकेज छूट प्राप्त हैं।

**`allow_legacy_npm_v1_lockfile`** — `lockfileVersion: 1` npm v5/v6 से npm lockfiles को कम-विश्वास मोड में अनुमति दें। डिफ़ॉल्ट: `false`। इसे बंद रखें जब तक कि आप जानबूझकर विरासत npm पर अटके न हों और तेज़ चेतावनियों के साथ-साथ कम विश्वास वाले npm ट्रांज़िटिव कवरेज को स्वीकार करते हों।

**`python_enforcement`** — Python विश्वास नीति को नियंत्रित करता है। `prefer_poetry` (डिफ़ॉल्ट) Poetry परियोजनाओं और uv परियोजनाओं पर भरोसा करता है, पूरी तरह से हैश-लॉक किए गए pip-tools आवश्यकताओं पर तभी भरोसा करता है जब प्रतिबद्ध आवश्यकताओं का ग्राफ `--index-url` और किसी भी गैर-PyPI `--extra-index-url` मानों को बिल्कुल बांधता है, और अन्यथा pip-tools को कम-विश्वास में डाउनग्रेड करता है। विरासत मेनिफेस्ट जैसे अनहैश किए गए `requirements*.txt`, `Pipfile`, `setup.cfg`, `setup.py`, और गैर-Poetry/गैर-uv `pyproject.toml` हर बार चलने पर चेतावनी देते हैं। `poetry_only` उन गैर-Poetry Python वर्कफ़्लो को अवरुद्ध करता है और Poetry की आवश्यकता है।

### Config Security

कॉन्फ़िग **कभी भी प्रोजेक्ट निर्देशिका से नहीं पढ़ा जाता**। शेल एक्सेस वाला एक AI एजेंट इन-रेपो कॉन्फ़िग को फिर से लिखकर जो चाहे अनुमति सूची में डाल सकता है।

Config resolution:
1. `--config /path/to/config.json` — स्थानीय फ़ाइल (CLI ध्वज, उच्चतम प्राथमिकता)
2. `--config https://example.com/config.json` — URL से लाएं
3. `SLOPPY_JOE_CONFIG=...` — env var (फ़ाइल पथ या URL)
4. कोई कॉन्फ़िग नहीं = केवल अस्तित्व + समानता + मेटाडेटा जाँचें

गलत कॉन्फ़िग **कठोरता से विफल** होते हैं और कार्रवाई योग्य त्रुटि संदेश देते हैं — एक टूटा हुआ कॉन्फ़िग कभी भी चुपचाप बिना सुरक्षा के वापस नहीं आता।

पूर्ण प्रारूप संदर्भ, CI एकीकरण पैटर्न और उदाहरणों के लिए [CONFIG.md](https://github.com/brennhill/sloppy-joe/blob/main/CONFIG.md) देखें।

Bootstrap config:```bash
sloppy-joe init --greenfield --ecosystem npm
sloppy-joe init --from-current
sloppy-joe init --from-current --register
sloppy-joe init --register

#### कार्रवाई इनपुट

| Input | Description | Default |
|-------|-------------|---------|
| `config` | कॉन्फ़िग फ़ाइल पथ या HTTPS URL | *(कोई नहीं)* |
| `dir` | स्कैन करने के लिए प्रोजेक्ट निर्देशिका | `.` |
| `type` | इकोसिस्टम (`npm`, `pypi`, `cargo`, `go`, `ruby`, `php`, `jvm`, `dotnet`) | auto-detect |
| `deep` | ट्रांज़िटिव डिप समानता जाँच सक्षम करें | `false` |
| `paranoid` | बिटफ्लिप म्यूटेशन सक्षम करें | `false` |
| `args` | अतिरिक्त CLI तर्क | *(कोई नहीं)* |
| `version` | इंस्टॉल करने के लिए sloppy-joe संस्करण | `latest` |

#### उदाहरण```yaml
# Minimal — CI-oriented scan, auto-detect ecosystem, no config
- uses: brennhill/[email protected]

# With org config from a URL
- uses: brennhill/[email protected]
  with:
    config: https://raw.githubusercontent.com/yourorg/configs/main/sloppy-joe.json

# Deep scan with paranoid mode
- uses: brennhill/[email protected]
  with:
    config: ${{ secrets.SLOPPY_JOE_CONFIG }}
    deep: true
    paranoid: true

# Scan a subdirectory, pin to a specific version
- uses: brennhill/[email protected]
  with:
    dir: ./packages/api
    version: '1.1.0'

### pre-commit

sloppy-joe [pre-commit](https://pre-commit.com) फ्रेमवर्क के साथ काम करता है।
इसे अपनी `.pre-commit-config.yaml` फ़ाइल में जोड़ें:```yaml
# .pre-commit-config.yaml
repos:
  - repo: https://github.com/brennhill/sloppy-joe
    rev: v1.1.0
    hooks:
      - id: sloppy-joe

या फ्रेमवर्क के बिना एक सरल शेल हुक का उपयोग करें:```bash
#!/bin/sh
sloppy-joe check || exit 1

समानता 4 चरणों में चलती है:
- **चरण 0: स्कोप स्क्वॉटिंग** — स्थानीय जाँच, कोई नेटवर्क नहीं। लेवेनश्टाइन दूरी के माध्यम से स्कोप/नेमस्पेस की तुलना ज्ञात-अच्छे स्कोप से करता है।
- **चरण 1: इंट्रा-मैनिफेस्ट** — स्थानीय जाँच। जब एक ही मैनिफेस्ट में दो निर्भरताएँ एक-दूसरे के उत्परिवर्तन (म्यूटेशन) हों, तब फ़्लैग करता है।
- **चरण 2: रजिस्ट्री क्वेरी** — उत्परिवर्तन उत्पन्न करता है, अस्तित्व के लिए रजिस्ट्री को बैच-क्वेरी करता है, परिणाम कैश करता है (7-दिन TTL)।
- **चरण 3: मेटाडेटा संवर्धन** — मेल खाने वालों के लिए डाउनलोड गणना और प्रकाशन तिथियाँ प्राप्त करता है, ताकि रिपोर्ट में साक्ष्य जोड़ा जा सके।

प्रत्येक उत्परिवर्तन जनरेटर अपने आउटपुट को टैग करता है, जिससे रिपोर्ट की गई जाँच प्रकार (जैसे, `similarity/homoglyph`) नियतात्मक होता है — जब कई जनरेटर समान उम्मीदवार उत्पन्न करते हैं तो सबसे उच्च-गंभीरता वाला जनरेटर जीतता है।

## CI विश्वसनीयता

sloppy-joe को CI पाइपलाइनों के लिए डिज़ाइन किया गया है जहाँ चंचल विफलताएँ अस्वीकार्य हैं।

**बैकऑफ़ के साथ पुनः प्रयास।** सभी रजिस्ट्री HTTP कॉल अस्थायी विफलताओं (5xx, टाइमआउट, कनेक्शन त्रुटियाँ) पर एक्सपोनेन्शियल बैकऑफ़ (200ms, 400ms, 800ms) के साथ 3 बार पुनः प्रयास करते हैं। एक एकल नेटवर्क ब्लिप आपके बिल्ड को विफल नहीं करेगा।

**क्वेरी त्रुटियों पर फ़ेल-क्लोज़।** यदि रजिस्ट्री या OSV क्वेरी विफल होती हैं, तो sloppy-joe चुपचाप जाँच छोड़ने के बजाय एक ब्लॉकिंग `registry-unreachable` त्रुटि उत्सर्जित करता है। स्कैन अब ब्लॉक करने से पहले प्रति-इकोसिस्टम थ्रेशोल्ड या नमूना-आकार कटऑफ़ पर निर्भर नहीं करता है।

**समानता कैश।** उत्परिवर्तन अस्तित्व के परिणाम 7 दिनों के लिए कैश किए जाते हैं। पहले स्कैन के बाद, अधिकांश क्वेरी शून्य नेटवर्क कॉल के साथ कैश से प्रस्तुत की जाती हैं। केवल नई निर्भरताएँ रजिस्ट्री क्वेरी को ट्रिगर करती हैं।

**लॉकफ़ाइल-जागरूक समाधान।** जब एक समर्थित लॉकफ़ाइल मौजूद हो और विश्वसनीय हो (`package-lock.json`, `npm-shrinkwrap.json`, `Cargo.lock`, `Gemfile.lock`, `poetry.lock` (Poetry परियोजनाओं के लिए), `uv.lock` (uv परियोजनाओं के लिए), `composer.lock`, `gradle.lockfile`, `packages.lock.json`), तो sloppy-joe श्रेणियों से अनुमान लगाने के बजाय इससे सटीक संस्करण हल करता है। पूर्णतः हैश-लॉक्ड `requirements*.txt` भी सटीक पिन किए गए संस्करण प्रदान कर सकते हैं, और वे पूरी तरह से विश्वसनीय हो जाते हैं जब प्रतिबद्ध आवश्यकताएँ (requirements ग्राफ) अपने स्वयं के `--index-url` और सटीक अनुमत `--extra-index-url` मान बाँधता है।

## परीक्षण

परीक्षण सूट में समानता जाँच, मेटाडेटा संकेत, OSV व्यवहार, कॉन्फ़िगरेशन पार्सिंग और सत्यापन, लॉकफ़ाइल समाधान, मैनिफेस्ट और लॉकफ़ाइल प्रीफ़्लाइट नीति, रिपोर्ट फ़ॉर्मेटिंग, और HTTP पुनः प्रयास तर्क शामिल हैं।```bash
cargo test