lead788

数据来自公开的注册表条目,以及这些包在 npm 上实际发布的清单。点任意一行是那一台的独立证据页,里面写明每条发现在哪个文件、属于哪条规则。

仓库源码不在这份索引的扫描范围内——要查源码,用 CLI 在自己的机器上跑,代码不用给任何人。

发现是"形状",不是"结论"——规则匹配代码与配置里的形状,一条 medium 不表示有人能利用它。低于阈值的项不改变判定;没测到的部分在各自页面单列,没测到不等于干净。