Go
- 源文件
- .go
- 本地依赖证据
- go.mod
v0.2.0 发现了什么
v0.2.0 使用文件内分析与经审查的目录。列出的文件类型是候选输入，并不承诺检测每种结构或密码用途。
- 使用文件本地分析检查了受支持源文件中加密 API 的使用情况。
- 默认情况下识别直接本地依赖声明；选定的本地锁定文件证据是可选的。
- 控制台、JSON 架构 v2 和 SARIF 2.1.0 报告，包含覆盖范围和警告详细信息。
版本边界内受支持的输入
Python
- 源文件
- .py / .pyi
- 本地依赖证据
- pyproject.toml / requirements*.txt
JavaScript
- 源文件
- .js / .jsx / .mjs / .cjs
- 本地依赖证据
- package.json
TypeScript
- 源文件
- .ts / .tsx / .mts / .cts
- 本地依赖证据
- package.json
Java
- 源文件
- .java
- 本地依赖证据
- pom.xml / Gradle
C#
- 源文件
- .cs
- 本地依赖证据
- MSBuild project/props XML / packages.config
默认分析直接声明；可选择分析可识别的本地锁文件。 仅在受支持时处理字面量声明；未知或动态结构会产生警告。
检测类别包括经典公钥算法、对称加密、哈希函数、TLS/X.509 API 证据、KDF/MAC/RNG、PQC 与混合模式。TLS/X.509 源代码观察不是证书或网络扫描。
默认跳过生成文件及常见第三方/构建目录。除非明确包含，否则跳过 TypeScript 声明。忽略项、过滤器、解析限制与警告都会影响覆盖。本地锁文件证据是局部的；不会生成完整依赖图、CVE 分析、SBOM 或 CBOM。
实验室合成样品 · 非客户结果
您可以检查的发现
此摘录来自随附的六种语言示例报告。完整的覆盖意味着对其支持的候选输入进行了分析；这并不意味着完整的系统清单。
实验室合成样品 · 非客户结果
v0.2.0 / JSON schema v2观察到的证据 高严重性
RSA用法
Crypto.cs · 线 8
观察记录
call System.Security.Cryptography.RSA.Createdirect-api-usage- 规则
QS1001- 算法
RSA-2048- 检测置信度
0.99
置信度描述的是检测情况，而不是已部署系统不安全的概率。
[01] 为什么这很重要
这一观察开始了对公钥密码学的回顾。其目的和周围的协议决定了要提出哪些迁移问题。
[02] 尚不清楚的是什么
源存在并不建立部署使用、数据机密性生命周期或提供商支持。在选择更改之前，人工审核必须确认系统上下文。
阅读原始扫描工具推荐
报告原文
RSA usage detected
Determine whether this RSA use provides key establishment, encryption, signatures, or another function. Assess ML-KEM for key establishment and ML-DSA or SLH-DSA for signatures only after confirming protocol and provider support.
此摘录来自随附的六种语言示例报告。完整的覆盖意味着对其支持的候选输入进行了分析；这并不意味着完整的系统清单。
打开完整的综合 JSON 报告 ↗结合上下文阅读一项观察
package.json:4
QS7001
declaration npm:jose
jose ^6.0.0- 已观察
- 下列合成清单发现指出了一项本地依赖声明。其位置、规则与符号均复制自报告。
- 解释
- 识别到的密码包是清单跟进候选项。仅有声明并不是实际使用算法的证据。
- 尚未证实
- 执行情况、可达性、漏洞、量子抵抗能力与整个系统的就绪程度仍未核实。
- 下一项调查
- 向应用负责人询问该包是否被使用、哪些调用方可达，以及其密码用途。
- 处置结论
- 示例状态：未解决，等待负责人审查。审查后保留、更正或标记为未解决；扫描器并未作出该决定。
从获授权输入到经审查证据
- 01
授权本地输入
约定仓库归属、允许的文件、访问边界与证据处理方式。
- 02
分析受支持的输入
在最小权限环境中使用获批可执行文件。文件内源代码与可识别本地依赖的分析不能证明运行时行为。
- 03
阅读结构化发现
解释单项观察之前，查看报告版本、覆盖情况、警告、过滤器与位置。
- 04
与负责人共同审查
与负责的系统负责人确认用途、可达性、依赖使用与不确定性。
- 05
更新清单
保留已审查观察，纠正误解，并记录未解决问题或评估候选项。
行动前先理解报告
- 规则与位置
- 规则标识符表示检测规则，而非漏洞 ID。相对路径与源代码区域标明观察位置。
- 证据类型
- 源代码模式与依赖声明含义不同。两者均不会自动证明已部署使用。
- 严重性
- 基于规则的审查信号，并非组织风险评级或已确认漏洞。应结合用途、暴露情况与数据生命周期解读。
- 置信度
- 检测置信度反映扫描器对证据的解释。它不是组织的就绪百分比，也不是已部署系统不安全的概率。
- 审查标记与建议
- requiresReview 表示需要人工审查。建议用于指导调查，并非自动替换或部署指令。
- 覆盖与警告
- 检查 coverage.complete、跳过的输入、警告、抑制项与过滤器。即使完整处理受支持的候选文件，也不等于完整系统清单。
识别到的模式未必代表可达的密码使用。封装、动态行为、不受支持语法、间接依赖或未知目录项也可能被遗漏。应同时审查发现与缺口。
区分证据类型
- 源代码模式观察
- 在本地文件中识别到的受支持 API 模式；运营行为需另行确认。
- 依赖声明
- 可识别的本地包坐标；不据此推断使用或可达性。
- 合成样本
- 为展示报告行为而构造的数据；并非客户结果。
- 实验室测试结果
- 来自特定测试与环境的结果；不会自动构成生产保证。
如何评估证据
仓库文档描述了包含预期正负模式的合成测试夹具、解析与绑定检查、模式检查及覆盖警告。它们测试明确的实现边界，并非有代表性的生产数据集，也不是已发表的精确率/召回率基准。此处不提出检测率或性能声明。
版本与报告兼容性
- v0.2.0 / JSON 2.0.0
- 展示的样本使用六种源代码语言与本地依赖模型。文档还说明了控制台与 SARIF 2.1.0 输出。
- 旧版模式 v1 模式
- 一个显式的仅限 Go 的兼容模式保留早期约定，并禁用依赖发现。它不是此处展示的样本。
比较报告时，应比较扫描器、规则集、知识、解析器目录、依赖目录与模式版本。即使模式保持兼容，发现数量也可能随目录变化。破坏兼容性的报告语义变更需要新模式；不要假设任意未来版本都可互换。
客户分发等待发布验证和批准的分发条款。您可以查看示例并讨论评估范围。
本地分析，具有明确处理边界
当前 CLI 不会在运行时建立网络连接、发送遥测、编译或执行客户代码，也不会调用包管理器。外部封装程序、CI 代理、报告存储及操作环境仍可能在扫描器控制范围外传输数据。报告包含相对路径与密码元数据，应视为敏感资料。本网站不接受仓库或报告上传；咨询详情由 Supabase 与 LINE 单独处理。
阅读网站隐私政策 ↗使用扫描器证据前的问题
发现是否意味着系统存在漏洞？
不是。这是需要结合上下文进行人工审查的观察。源代码中存在相关内容，不能证明执行、暴露或已确认漏洞。
空报告是否意味着系统已就绪？
不是。请检查受支持输入、跳过项、警告、抑制项与过滤器。仍可能存在未检测到的模式与依赖。
声明了依赖就能证明它被使用吗？
不能。本地声明不能证明运行时使用、可达性或应用选择的算法。
扫描器能检查已部署基础设施吗？
不能。它不扫描运行时系统、网络、证书、配置、二进制文件或云环境。
它会上传源代码或联系外部服务吗？
当前 CLI 没有运行时网络或遥测功能。外部封装程序、CI 代理、存储与操作环境处于该边界之外。网站咨询由服务提供商单独处理。
访客现在可以下载或运行它吗？
不提供公开可执行文件下载。指南介绍获批可执行文件的工作流程，并非公开安装邀请。
应如何处理敏感报告？
收集前约定访问权限、接收方、存储与保留方式。不要通过本网站咨询表单提交仓库、密钥、凭据或机密报告。