开源仓库陷阱扫描器

在打开陌生仓库前告诉你它是否可能是个骗局或攻击载体

痛点

有开发者亲身经历：LinkedIn 上有人以技术咨询为名，让他克隆一个看似公开的仓库并在 Cursor/VSCode 中打开，他起疑拒绝后对方立刻消失。这种利用「打开仓库即中招」的社交工程攻击正在发生，而目前没有简单的工具让开发者快速评估一个陌生仓库的风险。

方案

一个本地 CLI 或编辑器插件：在打开仓库前快速扫描可疑信号——异常 postinstall/preinstall 脚本、package.json 中的远程执行、可疑的 .vscode/tasks.json 或 .cursor 配置、混淆代码、外连域名等，生成一份人话风险报告。不执行代码，只做静态检查。

用户

经常接外包、面试做题、评估开源项目的开发者与安全工程师

MVP

一条命令扫描仓库；检测安装脚本与编辑器任务配置中的执行风险；标记混淆或可疑外连；输出终端报告与 JSON；不联网不上传代码

变现

开源核心 + 付费的团队规则库和 CI 集成；或买断桌面版

为何现在

AI 编码助手让「克隆并打开仓库」成为日常动作，攻击面随之扩大；这类社交工程骗局刚被公开曝光，正是做防护工具的时间点