依赖混淆供应链攻击风险检查器

勾选当前项目符合的风险项（如内部包名未加scope前缀、私有Registry未限定作用域、未锁定包来源等），点击「计算风险评分」查看总分（0-100）与风险等级（低/中/高），以及命中的具体风险项列表。

点击「加载示例数据」可快速体验勾选两项高危因素后的评分效果。

本工具是一个纯前端加权清单打分器，覆盖5类常见暴露面（权重合计100分）：

• 内部包名未加组织专属scope前缀（30分）
• 私有Registry未按scope限定来源，会向公共源fallback（25分）
• 项目配置未显式锁定内部包来源Registry（20分）
• 内部包版本号低于可能被抢注的公共同名包版本（15分）
• CI/CD构建允许跳过或修改lockfile完整性校验（10分）

总分≥60「高」需立即整改，25-59「中」应尽快排期，<25「低」建议持续关注。依赖混淆攻击利用包管理器默认优先解析公共Registry上版本更高的同名包这一机制，攻击者抢注与企业内部包同名的恶意包即可被自动拉取执行，2021年由安全研究员Alex Birsan首次公开披露并影响了多家大型科技公司。