deptrust CLI
Проверка версий пакетов на известные уязвимости до установки: npm, PyPI, Cargo, Go, Maven и еще десяток экосистем, с MCP и хуками
- 62 ★ репозитория
- Последний коммит
- MIT
Расширенный доступ
Почему такой уровень
- Установщик меняет конфигурацию Codex и Claude Code и ставит хуки, а проверка обращается к публичным реестрам и базам уязвимостей.
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add cli/deptrustОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Установщик меняет конфигурацию Codex и Claude Code и ставит хуки, а проверка обращается к публичным реестрам и базам уязвимостей.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
`deptrust` запрашивает публичные базы OSV и GitHub Advisory Database и отвечает, можно ли ставить версию пакета. Покрыты npm, PyPI, Cargo, модули Go, RubyGems, NuGet, Maven, Packagist, pub.dev, CocoaPods, Hex.pm, Hackage и GitHub Actions. Ответ содержит рекомендацию (`allow`, `review`, `block`), найденные уязвимости и сигналы опасности: например, версию младше 72 часов он отправляет на проверку. Инструмент работает как CLI и как MCP-сервер, своего облака у него нет. Установщик подключает MCP для Codex и Claude Code, ставит скилл и хуки `PreToolUse`: они проверяют команды установки пакетов и добавленные в рабочие процессы действия GitHub Actions до выполнения.
Для кого. Разработчикам, чей агент подбирает версии зависимостей и ставит пакеты: проверка идет до установки, а не после.
Подходит, если
- Агент советует обновить зависимости, и нужно знать, какие версии безопасны
- Перед добавлением нового пакета хочется проверить его версию по базам уязвимостей
- Команды `npm install` или `pip install` от агента перехватывают хуком
- В CI проверяют версии пакетов и действия GitHub Actions в рабочих процессах
Не подходит, если
- Нужен анализ вашего собственного кода на уязвимости: инструмент проверяет только известные записи по пакетам
- Результат `allow` принимают за доказательство безопасности пакета
- Рабочая среда без доступа к публичным реестрам и базам OSV
Пример запроса к агенту
Проверь через deptrust версии `lodash` 4.17.20 и `vite` 7.0.0 и скажи, какие обновлять, а какие блокировать.Ограничения
Результат `allow` означает лишь отсутствие найденных блокирующих уязвимостей и не доказывает безопасность пакета. Если ни один провайдер не поддерживает экосистему, ответ будет `unknown`. Для CocoaPods нет данных OSV, для Hackage нет GitHub Advisory Database. Хуки блокируют вызов при `review`, `block` и `unknown`, поэтому возможны ложные остановки. Запросы к GitHub без токена упираются в лимиты; для CI README советует токен приложения в `DEPTRUST_GITHUB_TOKEN`.
Как отключить. Выполните `npx @clidey/deptrust uninstall`: команда удаляет пользовательский бинарник, скилл и записи MCP. Хуки и токены проверьте в конфигурации Codex и Claude Code вручную.
Частые вопросы
Как поставить?
Выполните `npx @clidey/deptrust install`. Установщик спросит, какие интеграции настроить, и покажет пути до изменений. Есть также `brew install clidey/tap/deptrust` и `go install github.com/clidey/deptrust/cmd/deptrust@latest`.
Какой инструмент MCP главный?
`check_package`: принимает экосистему, имя пакета и версию (можно `latest`) и возвращает компактный ответ с рекомендацией, чтобы агент не тянул в контекст полный текст уязвимостей.
Как подключить MCP вручную?
Запустите `deptrust mcp` как stdio-сервер. Для Claude Code подойдет `claude mcp add --transport stdio deptrust -- /absolute/path/to/deptrust mcp`.
Что делают хуки?
Хуки `PreToolUse` проверяют команды установки пакетов и действия GitHub Actions, добавленные в рабочие процессы, и блокируют вызов при `review`, `block` или `unknown`.
Нужен ли токен GitHub?
Нет, но без него лимиты API ниже. Локально можно включить `DEPTRUST_GITHUB_AUTH=gh`, тогда используется вход в `gh`, а токен не сохраняется.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
CLI-инструментыMCP-сервер SafeDep vet: агент проверяет npm- и PyPI-пакеты на вредонос, уязвимости и подмену имен до того, как их поставят.
Плагин и MCP-сервер NPMScan: проверка пакетов npm на вредоносный код и уязвимости, включая install-скрипты и происхождение сборки
Сканер безопасности для MCP-серверов: ищет зашитые ключи, отравление инструментов и инъекции в коде репозитория.
Официальный MCP-сервер Socket оценивает безопасность зависимостей npm, PyPI, cargo и других экосистем прямо из диалога с агентом.
Офлайн-сканер проверяет чужие репозитории, скиллы, плагины и MCP-серверы на вредоносный код до того, как они попадут к агенту.
CLI Snyk для поиска уязвимостей в коде, зависимостях, контейнерах и IaC, со встроенным MCP-сервером и режимом для агентов
Коротко о README
Документация описывает поддерживаемые экосистемы и провайдеров, таблицу покрытия, установку через `npx`, Homebrew, Go и Nix, настройку агентов, ручное подключение MCP, инструмент `check_package` и диагностику.