Depsonar

功能最全面的依赖项审计 MCP 服务。
_{扫描 · 审计 · 更新 · 迁移 — 9 种语言、23 个工具，一个 MCP 服务}

  

depsonar 是一个 MCP 服务，可让项目依赖项保持最新、扫描漏洞、检测框架迁移，并审计整个开发基础设施——可直接通过 Cursor、Claude 或任何兼容 MCP 的 AI 助手使用。

支持 Node.js、Python、Rust、Go、PHP、Ruby、Dart/Flutter、Swift 和 Kotlin/Java。

---

为什么选择 depsonar？

在 AI 生成的“氛围编程”项目中，依赖项维护往往被忽视。WordPress 通过一键更新解决了这个问题。depsonar 将同样的体验带到现代开发中，同时提供安全扫描、迁移检测和基础设施审计。

---

功能

依赖项管理

• 多语言支持：支持 9 种语言，自动检测
• 框架感知：SvelteKit、Next.js、Nuxt、Astro、Django、Laravel、Express……
• 安全更新：提供 3 个级别（补丁/次要版本/最新版本），并支持试运行预览
• 批量操作：一次更新所有项目
• 按生态系统分组：按 Svelte、Supabase、Tailwind、Vite 等对结果分组

安全与合规

• 通过 osv.dev API 实时扫描 CVE（npm、PyPI、crates.io、Go、PHP、Ruby）
• 框架 CVE 数据库：整理了 Svelte、Next.js、Vite、Express、Axios 的安全公告
• 原生审计集成：npm audit、cargo audit、pip-audit、composer audit、govulncheck
• 密钥扫描器：检测 AWS 密钥、GitHub 令牌、Stripe 密钥、数据库 URL 等
• 许可证合规：标记 GPL/AGPL 著佐权许可证、非商业许可证和未知许可证

迁移与维护

• 迁移检测器：识别需要更改的代码模式（Svelte 4→5 runes、Next.js Pages→App Router）
• 更新日志预览：更新前查看破坏性变更
• 弃用检测：查找不再维护的软件包并推荐替代项
• 健康评分：根据依赖项、安全性、锁文件和运行时为每个项目评分，范围为 0-100
• 后台检查器：通过 macOS launchd 或 Linux cron 定时扫描

基础设施审计

• 运行时版本：Node.js、Python、Rust、Go、PHP、Ruby、Dart、Swift（EOL 检测）
• 全局工具链：npm、pnpm、yarn、bun、cargo、pip、git、docker、vercel、supabase、wrangler
• Docker 镜像审计：检测过时或已 EOL 的基础镜像
• GitHub Actions 审计：标记所有工作流中的弃用操作
• 环境检查：.env 同步、锁文件时效性、配置验证

---

快速开始

选项 1：npx（无需安装）

添加到 ~/.cursor/mcp.json：

{
  "mcpServers": {
    "depsonar": {
      "command": "npx",
      "args": ["-y", "depsonar"]
    }
  }
}

选项 2：全局安装

npm install -g depsonar

{
  "mcpServers": {
    "depsonar": {
      "command": "depsonar"
    }
  }
}

选项 3：克隆

git clone https://github.com/Soflution1/depsonar.git
cd depsonar && npm install && npm run build

{
  "mcpServers": {
    "depsonar": {
      "command": "node",
      "args": ["/path/to/depsonar/dist/index.js"]
    }
  }
}

编辑配置后重启 Cursor。

---

全部 23 个工具

工具	描述
depsonar_scan	扫描所有项目中的过时依赖
depsonar_check	检查指定项目
depsonar_update	更新项目依赖
depsonar_update_all	批量更新所有项目
depsonar_health	评估项目健康度，评分为 0-100
depsonar_install	全新安装，可选清理
depsonar_audit	安全扫描（npm/pip/cargo audit）
depsonar_cve	精选框架 CVE 安全公告检查
depsonar_live_cve	通过 osv.dev API 实时扫描 CVE
depsonar_changelog	更新前查看更新日志和破坏性变更
depsonar_migrate	框架迁移检测器
depsonar_deprecated	检测已弃用和已被替代的包
depsonar_secrets	密钥和 API 密钥扫描器
depsonar_licenses	许可证合规性检查（标记 GPL/AGPL）
depsonar_runtimes	运行时版本检查（EOL 检测）
depsonar_toolchain	全局工具版本
depsonar_docker	Docker 镜像审计
depsonar_actions	GitHub Actions 审计
depsonar_envcheck	.env、锁文件和配置验证
depsonar_infra	完整的基础设施报告（全部内容）
depsonar_alerts	从后台扫描即时获取提醒
depsonar_setup_checker	设置自动后台扫描
depsonar_config	查看/编辑配置

---

后台检查器

后台检查器按计划扫描项目并缓存结果。打开 Cursor 时，depsonar_alerts 会即时读取缓存，无需等待。

1. 轻量级脚本通过 macOS launchd 或 Linux cron 每隔 N 小时运行一次
2. 扫描所有项目，并将版本与注册表进行比较
3. 将结果写入 ~/.depsonar-cache.json 后立即退出
4. 两次运行之间不占用 RAM、不消耗 AI 令牌、零成本

在 Cursor 中设置：“每 6 小时设置一次后台检查”

---

配置

设置项目目录（自动从 ~/Cursor/App、~/Projects、~/Developer、~/Code、~/dev 检测）：

// ~/.depsonarrc.json
{
  "projectsDir": "/Users/me/my-projects"
}

也可以在 Cursor 中说：“将我的项目目录设置为 ~/Code”

---

支持的语言

语言	检测依据	包管理器
Node.js	package.json	npm、pnpm、yarn、bun
Python	requirements.txt、pyproject.toml、Pipfile	pip、pipenv、poetry
Rust	Cargo.toml	cargo
Go	go.mod	go
PHP	composer.json	composer
Ruby	Gemfile	bundler
Dart/Flutter	pubspec.yaml	pub
Swift	Package.swift	swift
Kotlin/Java	build.gradle.kts	gradle

框架检测

SvelteKit · Next.js · Nuxt · Astro · Remix · SolidStart · Django · Flask · Laravel · Express · Fastify · Hono · Actix · Gin · Fiber

---

架构

depsonar/
├── src/
│   ├── index.ts              # Entry: MCP server or --check mode
│   ├── checker.ts            # Background scanner (cron/launchd)
│   ├── dashboard.ts          # Web dashboard (http://127.0.0.1:24681)
│   ├── constants.ts          # Language markers, ecosystem patterns
│   ├── types.ts              # TypeScript interfaces
│   ├── schemas/index.ts      # Zod input validation
│   ├── services/
│   │   ├── project.ts        # Multi-lang detection, outdated parsing
│   │   ├── formatter.ts      # Reports, tables, alerts formatting
│   │   ├── audit.ts          # Native security audit (npm/cargo/pip)
│   │   ├── cve.ts            # Curated CVE advisory database
│   │   ├── osv.ts            # Live CVE via osv.dev API
│   │   ├── changelog.ts      # Changelog & breaking change detection
│   │   ├── migrate.ts        # Framework migration detector
│   │   ├── deprecated.ts     # Deprecated package detection
│   │   ├── secrets.ts        # Secret & token scanner
│   │   ├── licenses.ts       # License compliance checker
│   │   ├── runtimes.ts       # Runtime version checker
│   │   ├── toolchain.ts      # Global toolchain checker
│   │   ├── docker.ts         # Docker image auditor
│   │   ├── actions.ts        # GitHub Actions auditor
│   │   └── envcheck.ts       # Environment validator
│   └── tools/index.ts        # 23 MCP tools
├── static/
│   ├── logo.png              # depsonar logo (512x512)
│   └── banner.png            # GitHub banner (1800x600)
├── package.json
├── tsconfig.json
└── LICENSE (MIT)

---

CLI

depsonar              # Start MCP server (for Cursor)
depsonar --check      # Run background scan
depsonar --version    # Show version
depsonar --help       # List all 23 tools

---

Soflution 的其他项目

• brandcheck — 一次性检查 27 个平台上的品牌名称可用性，包括域名、社交媒体、应用商店和商标。

---

许可证

MIT — Soflution Ltd