RootCawsLLC/repo-recon

repo-recon 是做什麼的？

在信任 Git 儲存庫之前對其進行偵查：機密資訊、弱點相依性 (OSV.dev)、惡意程式碼啟發式分析、作者盡職調查、隱私態勢以及 AI 代理目標內容，整合成一份分級報告。隨附可驗證的 Claude 技能，用於部署前掃描。

概覽

repo-recon 為開發者和 AI 代理提供了一個安全網。在合併 PR、為專案貢獻程式碼或使用第三方套件之前，執行此技能以取得全面、自動化的信任與安全性報告。

功能

• 機密掃描：使用 truffleHog 尋找提交歷史和檔案中的 API 金鑰、令牌、密碼。
• 弱點掃描：透過安全的 osv.dev API 檢查所有依賴項的清單已知漏洞。
• 惡意程式碼啟發式分析：偵測混淆的腳本、內部 IP/網域、可疑的系統呼叫、編譯的二進位檔以及從不尋常來源提取的資料。
• 作者盡職調查：分析作者電子郵件網域、帳號年齡、最近活躍度以及組織關聯。
• 隱私審計：檢查專案是否聲明隱私政策、是否收集分析資料或包含追蹤器。
• AI 代理目標檢查：掃描 CLAUDE.md、cursor-rules、CODE_OF_CONDUCT.md 等檔案中的指令注入、隱藏提示或系統操縱。

平台

• Claude Code：在 claude.ai 上使用 Anthropic 的 Claude Code 功能作為自訂技能。
• 自訂整合：可從本機 CLI 呼叫或整合到 CI/CD 管道中。

使用方式

作為 Claude Code 技能 (建議)

1. 將此儲存庫克隆或下載到本機。
2. 在 Claude Code 設定中新增技能來源。

   {
     "skills": [
       {
         "source": "/path/to/repo-recon/skill.json"
       }
     ]
   }
   

3. 在對話中提示 Claude：

   使用 repo-recon 對 https://github.com/某個使用者/某個儲存庫 進行偵查。
   

本機執行

git clone https://github.com/RootCawsLLC/repo-recon.git
cd repo-recon
chmod +x recon.sh
./recon.sh https://github.com/某個使用者/某個儲存庫

報告

該技能會產生一個結構化的 Markdown 報告，包含：

• 摘要：包含 0-100 分的總體風險評分。
• 機密：已尋找和已尋找的詳細資訊。
• 弱點：每個 CVE 都附有嚴重性、受影響的套件和修復版本。
• 惡意程式碼：可疑發現的清單。
• 作者：信任指標。
• 隱私：資料收集政策分析。
• AI 目標：提示注入或其他 AI 操縱的跡象。

報告可以標準輸出或儲存至檔案的方式產生。

環境變數

變數	說明	預設值
RECON_DIR	工作目錄	/tmp/repo-recon
GITHUB_TOKEN	GitHub API 令牌 (選擇性，用於較高的速率限制)	無
OSV_API_URL	OSV.dev API 端點	https://api.osv.dev/v1
TRUFFLEHOG_ARGS	傳遞給 truffleHog 的其他參數	--only-verified

依賴項

• git (用於克隆與歷史分析)
• curl 與 jq (用於 API 呼叫)
• truffleHog (用於機密偵測)
• pip 或 npm (用於依賴項解析，視儲存庫而定)

授權條款

MIT