lurq

$ lurq verify lodahs
lodahs  ✗ do not install 0.0.1-security (latest) without review
  • name closely mimics "lodash" — possible typosquat
  • 1 critical/high advisory(ies) recorded against this package
risk flags: possible-typosquat-of:lodash, low-downloads, single-maintainer, has-known-advisory

$ lurq verify zod
zod  ✓ no supply-chain problems found in 4.6.4 (latest)
weekly dl:  209.2M   confidence: proven   advisories: 0

$ lurq compat next @auth/core next-auth
next + @auth/core + next-auth  conflict
peer-deps  next-auth needs peer @auth/[email protected], but the stack uses @auth/[email protected]

真实输出，而非模型图。你的 Agent 通过 MCP 获得的答案与此相同。

为什么你的 Agent 需要它

模型对 npm 的了解止步于其训练截止时间，而注册表不会。

• 杜撰的名称和仿冒名称。 Agent 会自信地安装不存在的包，或是仅仅因为有人注册了拼错的名称才存在的包。
• 发生变更的 API。 在 lurq 跟踪的 38,752 个包中，有 2,725 个在 2026 年 5 月 1 日至 9 月 13 日期间发布了新的主版本。根据记忆编写的代码会调用已重命名或移除的函数。
• 无法一起安装的技术栈。 每个包单独来看都可能正常，但组合起来却会因 peer 或引擎版本范围不兼容而失败。这类问题通常要到部署时才会暴露。

lurq 会依据可展示的证据作答：为 47,238 个包评分，跟踪 420 万个版本，从已发布的代码中提取 34,843 个 API 表面，并记录 2,700 万组共同安装组合；数据每日从 npm、GitHub、deps.dev 和 OSV 刷新。每个答案都带有 dataAsOf 时间戳。

范围： JavaScript/TypeScript 生态系统（npm）。

安装

每台机器只需运行一次命令。无需预先安装任何内容：

npx lurqrun

设置向导会：

1. 在浏览器中打开 lurq。登录后，密钥会自动返回终端。
2. 检测这台机器上的所有编码 Agent。
3. 按照每个 Agent 所需的格式，为其写入带密钥的远程 MCP 配置。
4. 在 Agent 支持的情况下安装常驻指令，让它使用 lurq，而不是凭记忆作答。

之后重启你的 Agent。免费套餐每月包含 1,000 次托管调用，且无需提供银行卡信息。

支持： Claude Code · Cursor · Windsurf · VS Code / GitHub Copilot · OpenAI Codex CLI · Gemini CLI · Google Antigravity · Kiro

检查是否正常： 让你的 Agent “在这个项目中添加 zod”。安装任何内容之前，它应先调用 lurq 的 verify。

Claude Code 插件，无需终端：

/plugin marketplace add jadenryu/lurq
/plugin install lurq@lurq

Cursor 和 VS Code 的一键安装链接位于快速入门。

该包以 lurqrun 发布（不带后缀的名称已被占用）。命令为 lurq：

npm install -g lurqrun
lurq --version

面向 AI Agent

如果你是 AI 编码 Agent，且用户要求你设置 lurq，请按以下步骤操作。

1. 运行设置程序。

npx lurqrun setup

在你的 Shell 中，它不会提示输入内容：它会打印一次性登录链接，然后立即退出。将该链接提供给用户。当用户在这台计算机上登录后，lurq 会保存密钥，并自动连接所有检测到的编码 Agent。切勿编造密钥。

2. 或者以非交互方式配置，适用于用户已经从 lurq.run/dashboard/keys 获取密钥，或在云端、SSH 或 CI 机器上运行的情况，因为在这台计算机上无法使用登录链接：

npx lurqrun setup --yes --no-open --api-key <key> --agent <id>

--agent all 会配置所有检测到的 Agent。使用 --yes 时，密钥也可以来自 LURQ_API_KEY。

有些检查完全不需要密钥。npx lurqrun check-upgrade --upgrade <package>@<from>..<to> 会在本地将某次升级与你的代码实际导入的名称进行比较。

3. 告知用户重启 Agent，然后确认 lurq 出现在其 MCP 工具列表中。

"lurq": { "type": "http", "url": "https://api.lurq.run/mcp", "headers": { "Authorization": "Bearer <key>" } }

"lurq": { "url": "https://api.lurq.run/mcp", "headers": { "Authorization": "Bearer <key>" } }

"lurq": { "serverUrl": "https://api.lurq.run/mcp", "headers": { "Authorization": "Bearer <key>" } }

"lurq": { "httpUrl": "https://api.lurq.run/mcp", "headers": { "Authorization": "Bearer <key>" } }

[mcp_servers.lurq]
url = "https://api.lurq.run/mcp"
http_headers = { Authorization = "Bearer <key>" }

如果 lurq 标记了问题，请告知用户发现了什么，并说明这些信息来自 lurq。unknown 或 UNVERIFIABLE 结果表示 lurq 无法检查。这绝不意味着该软件包没有问题。

机器可读文档：lurq.run/llms.txt · lurq.run/docs/llms-full.txt

MCP 工具

共 15 个工具。响应简洁以节省令牌，软件包相关回答会携带 dataAsOf。

安装前

跨技术栈

编写代码

MCP 服务

关于 lurq

各工具的输入、输出和判定定义：MCP 工具参考。

CLI

同一索引，可通过脚本调用。每个读取命令都支持 --json。

# Before installing
lurq verify jsonwebtoken
lurq evaluate zod
lurq compare date-fns dayjs moment

# Stacks and projects
lurq compat next react react-dom
lurq audit .                               # every dependency and MCP server in the project

# APIs and upgrades
lurq usage zod --known 3.22.4              # what changed since the version you know
lurq upgrade-plan .                        # what's behind, and what each upgrade removes
lurq check-upgrade . --plan lurq-plan.json --exit-code

# Publishing your own package
lurq check-release                         # is the version you're about to publish honest?
lurq check-api --against origin/main       # does this break your API's callers?

# MCP servers
lurq mcp-scan                              # read the servers you have configured, record what changed

# Team policy
lurq policy pull policy.json               # keep the selection policy in a reviewed file
lurq policy push policy.json               # and apply it from CI (needs a policy:write key)

# Finding your way
lurq can "will this upgrade break my code" # which capability answers this?

完整参考：CLI 文档。

Autopilot

lurq 会让仓库依赖保持最新，并在合并前指出升级会破坏哪些代码。

这项检查会读取不同版本之间的符号级 API 差异，并与代码实际引用的内容进行匹配。无需测试。

blocking   a referenced symbol or deep import disappears,
           or require() of a now-ESM package breaks         → the code will throw
warning    a call's argument count no longer fits, a new type
           error, or a Node / peer version the repo lacks   → it may misbehave or not build
ok         nothing referenced is affected
unverified could not be established                         → never counted as safe

有三种模式，编辑为可选操作。 工作流从 comment 模式开始：它会规划、检查、将摘要写入运行摘要，并且不做任何更改。fix 会创建一个仅包含软件包自身能够确认的内容的拉取请求——重命名调用位置，以及所有清单中的版本范围更新——因此无需 Anthropic 凭据，新启用工作流的仓库默认采用此模式。pr 则是在 fix 的基础上加入 Agent，用于处理规则无法完成的更改。上面的步骤 4 是唯一需要模型的步骤，因此只有 pr 模式会运行它。

对于已经安装工作流的仓库，仪表板设置决定运行模式：每次运行都会从计划响应中读取模式，而不是读取已提交的文件。

运行频率取决于范围——会跟踪破坏性变更的范围采用每周运行，因为主版本更新来得足够慢，每天运行大多只会报告没有新内容；仅设置安全公告的仓库则采用每天运行，因为每周运行可能会让已知 CVE 等上七天。

信任模型。 lurq 的 GitHub App 仅持有 Contents: read-only 和 Actions: write 权限。它可以读取清单并_启动_你提交的工作流，但不能向仓库写入任何内容、修改此文件或设置仓库变量。所有写入均由工作流本身使用你自己的临时 GITHUB_TOKEN 完成，权限受你控制的文件中的 permissions: 代码块限制。Agent 的允许列表为 Read,Edit,Write,Bash(<pkg-manager>:*)，因此它可以编辑文件，但绝不会触及版本控制。 运行 git rm .github/workflows/lurq-upgrade.yml 即可移除它。

哪些内容会离开你的机器

仅包含软件包名称和版本，不包含源码。audit 接收 Agent 在本地读取的清单，check-upgrade 会在你自己的运行器上将符号与代码匹配，结果仅报告名称和数量。

有一项例外值得注意：默认情况下，lurq mcp-scan 会将 MCP 服务公开的内容（工具名称、描述和参数，机密信息会经过脱敏）记录到你的账户中，以便告知你有哪些变化。--no-upload 可将扫描结果保留在本机。

证据来源

可读数据： 每日重新同步 npm、GitHub、deps.dev 和 OSV 数据。包括下载量、发布节奏、维护情况、安全公告、弃用信息、许可证和打包体积成本。

执行数据： 隔离沙箱会安装并导入各个版本的包，并将结果记录在兼容性矩阵中。compat 会读取这些依赖关系，以及声明的 peer 和 engine 范围，因此 lurq 能判断整个技术栈是否兼容。

排名是确定且公开的。 评分流程中不使用任何模型：

health    = maintenance 0.35 · adoption 0.30 · reliability 0.25 · efficiency 0.10
quality   = types · tests · docs · changelog · dep count · license · provenance
composite = blend at a single tunable λ (default 0.35)

所有权重都定义在 src/scoring/weights.ts 中，并可通过 lurq weights 输出。

套餐

超出限额后，调用会降至每天 20 次，而不是停止。使用你自己的数据库运行 CLI 永远不会计量收费。详情：定价。

lurq uninstall                  # MCP entries, agent instructions, the stored key
lurq uninstall --agent cursor   # just one agent
npm uninstall -g lurqrun        # then remove the `lurq` command

联系方式

咨询、合作或提案：[email protected]

许可证

MIT