npq CLI
npq, CLI аудита npm-пакетов, отделяет JSON-отчет от установки зависимости: в этом режиме пакетный менеджер не запускается.
- 1 795 ★ репозитория
- Последний коммит
- Apache-2.0
Расширенный доступ
Почему такой уровень
- Инструмент обращается к реестрам и внешним базам, а установочный режим может продолжить работу менеджера пакетов после предупреждений.
Установка
В терминале, через SkillFoxx CLI
npx skillfoxx add cli/npqОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Инструмент обращается к реестрам и внешним базам, а установочный режим может продолжить работу менеджера пакетов после предупреждений.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
npq, инструмент командной строки, собирает сведения о пакете до установки: известные уязвимости, возраст и автора. Отдельно он проверяет лицензию и установочные сценарии. Агент может получить отчет и обсудить подозрительные признаки до добавления зависимости. Проверки используют реестр и внешние источники данных. Есть отдельный JSON-режим аудита, который не передает задачу пакетному менеджеру. В установочном режиме после проверок работу выполняет npm или выбранная альтернатива. Поведение при предупреждениях зависит от режима запуска, поэтому его нужно выбрать заранее.
Для кого. Командам JavaScript-проектов, которые хотят отдельно проверить новую зависимость перед ее установкой агентом.
Подходит, если
- Агент выбрал новый npm-пакет и показывает известные проблемы и сведения об издателе перед установкой.
- Для CI нужен машиночитаемый отчет без установки зависимости.
- У выбранной версии изменились издатель или установочные сценарии.
- Команда проверяет объявленные прямые зависимости текущего проекта.
Не подходит, если
- Вы ждете доказательства полной безопасности пакета после чистого отчета.
- Предупреждение должно всегда останавливать установку при настройках по умолчанию.
- Нужен полный анализ всех транзитивных зависимостей только по режиму проекта.
Пример запроса к агенту
Проверь предложенный npm-пакет через npq с явным JSON-режимом и покажи находки, ничего не устанавливая.Ограничения
В интерактивном режиме при предупреждениях без ошибок установка по умолчанию начинается после 15-секундного отсчета. В среде кодинг-агента npq также может продолжить установку при одних предупреждениях; для аудита без установки укажите `--json`. Режим проекта читает прямые зависимости из package.json, не читает lock-файл и не раскрывает всю транзитивную цепочку. Чистый отчет означает, что доступные проверки ничего не нашли; безвредность всего кода он не доказывает.
Как отключить. Уберите npq из обертки npm и отключите добавленные псевдонимы оболочки. Уже установленные пакеты удаляются отдельно пакетным менеджером.
Частые вопросы
JSON-режим запускает npm?
Нет. Явный `--json` всегда оставляет проверку аудитом без пакетного менеджера.
Как потребовать интерактивного подтверждения?
Отключите автоматическое продолжение через `--disable-auto-continue`. Учитывайте отдельные правила неинтерактивного режима.
Почему часть проверок не оценена?
Проверке может не хватать сведений реестра или учетных данных для внешнего источника. Статус `not evaluated` указывает на незавершенную проверку; засчитывать ее как успешную нельзя.
Откуда берутся сведения об уязвимостях?
Используются внешние базы, включая OSV или настроенный Snyk; доступность зависит от конфигурации.
Заменяет ли npq пакетный менеджер?
Нет. В режиме установки он передает работу выбранному менеджеру после своих проверок.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
CLI-инструментыCLI создает и проверяет подписанные квитанции действий агента, выгружает журнал аудита и проверяет пакеты локально.
Сканер безопасности для агентов: проверяет код, MCP-серверы, промпты и пакеты, выдуманные моделью, и ставит оценку от A до F.
Плагин проверяет команды, адреса и запись файлов, которые запускает ИИ-агент, и блокирует опасные до выполнения
Статический сканер уязвимостей в коде ИИ-агентов и конфигурациях MCP с 66 правилами по OWASP Agentic Top 10
Сканер безопасности для кода от ИИ: секреты, зависимости, MCP и CI, расследование находок с доказательствами и исправления с подтверждением
Официальный MCP-сервер Socket оценивает безопасность зависимостей npm, PyPI, cargo и других экосистем прямо из диалога с агентом.
Коротко о README
Можно подключать пользовательские реестры и проверки происхождения пакета. Доступность части сведений зависит от реестра и настроенных учетных данных.