pwned-deps

pwned-deps 是一款面向软件供应链安全的依赖项漏洞扫描工具，专注于识别已被公开证实遭入侵或恶意篡改的第三方包版本（如账户劫持、typosquatting、依赖混淆、回溯植入等）。它采用 lockfile 优先策略，支持 npm、PyPI、Maven、Cargo、Go 和 RubyGems 多生态，集成 OSV 数据库与人工校验补充清单，并原生支持 SLSA Level 3 证明验证与 SARIF 输出。适用于 CI/CD 流水线、PR 检查、开发本地预检及组织级供应链风险治理场景，强调快速响应（5秒内反馈）与生产就绪集成能力。