RepoScan 克隆安全哨兵

在运行任何陌生仓库前，自动扫描凭证窃取与恶意脚本

痛点

开发者经常从 GitHub 克隆陌生仓库、运行安装脚本，但缺乏快速安全检查手段。Hacker News 上出现的 CloneGuard 正说明这类需求真实存在；同时 Slickdeals 被攻陷导致页面重定向恶意站点的事件也提醒我们，普通网站和仓库都可能被植入恶意代码。

方案

提供一个命令行工具或 GitHub Action，在 clone 后立刻静态分析代码、安装脚本、依赖项，检测凭证窃取、反向 shell、可疑网络请求等模式，并给出风险报告。

用户

经常克隆和运行开源代码的开发者、安全工程师、DevOps 团队

MVP

支持扫描 package.json、setup.py、Makefile 等常见入口；检测硬编码凭证、可疑 URL、反向 shell 模式；输出终端彩色报告；提供 pre-commit 钩子集成；支持一键忽略误报

变现

开源核心 + 团队版订阅（私有仓库策略管理、报告存档、Slack 告警）

为何现在

软件供应链攻击频发，AI 生成代码增加不可信来源，开发者安全意识提升但工具滞后