prodlint (38bc59)

产品

](https://www.npmjs.com/package/prodlint) ](https://www.npmjs.com/package/prodlint) 

为vibe编码的应用程序做好生产准备。

vibe编码应用程序的静态分析。标记Cursor、v0、Bolt和Copilot造成的安全性、可靠性、性能和AI质量问题——幻觉导入、缺少身份验证、硬编码秘密、未验证的服务器操作等等。零配置，无LLM，52条规则。

npx prodlint

  prodlint v0.9.2
  Scanned 148 files · 2 critical · 5 warnings · 1 info

  src/app/api/checkout/route.ts
    12:1  INFO  No rate limiting — anyone could spam this endpoint and run up your API costs  rate-limiting
    28:5  WARN  Empty catch block silently swallows error  shallow-catch

  src/actions/submit.ts
    5:3   CRIT  Server action uses formData without validation  next-server-action-validation
      ↳ Validate with Zod: const data = schema.safeParse(Object.fromEntries(formData))

  src/lib/db.ts
    1:1   CRIT  Package "drizzle-orm" is imported but not in package.json  hallucinated-imports

  Scores
  security        72 ████████████████░░░░  (8 issues)
  reliability     85 █████████████████░░░  (4 issues)
  performance     95 ███████████████████░  (1 issue)
  ai-quality      90 ██████████████████░░  (3 issues)

  Overall: 82/100 (weighted)

  2 critical · 5 warnings · 4 info

为什么？

Vibe编码是最快的构建方式。快速交付意味着知道你的代码已经准备好投入生产，而不仅仅是它可以编译。硬编码的秘密、幻觉包、丢失的身份验证和XSS向量通过了类型检查，看起来是正确的，但它们还没有准备好投入生产。

prodlint检查TypeScript和ESLint没有检查的内容： 你的vibe编码应用程序是否已准备好投入生产.

安装

npx prodlint                              # Run directly (no install)
npx prodlint ./my-app                     # Scan specific path
npx prodlint --json                       # JSON output for CI
npx prodlint --sarif                      # SARIF 2.1.0 for GitHub Code Scanning
npx prodlint --summary                    # Quick pass/fail + top 3 blockers
npx prodlint --profile startup            # Only critical findings
npx prodlint --profile strict             # All findings including info
npx prodlint --baseline .prodlint-baseline.json   # Only new findings
npx prodlint --ignore "*.test.ts"         # Ignore patterns
npx prodlint --min-severity warning       # Only warnings and criticals
npx prodlint --quiet                      # Suppress badge output

或者安装它：

npm i -D prodlint     # Project dependency
npm i -g prodlint     # Global install

4个类别的52条规则

安全（27条规则）

可靠性（11条规则）

性能（6条规则）

AI质量（8条规则）

智能检测

prodlint避免了常见的误报：

• AST解析 --使用正则表达式回退对12条规则（导入、捕获块、重定向、SSRF、路径遍历、JWT、HTML注入、水合、事务、环境泄漏、循环、SQL）进行基于Babel的分析
• Monorepo支持 --npm/yarn/pnpm工作区依赖关系自动解析
• 框架意识 --Prisma、Drizzle、Supabase、Knex和Sequelize白名单可防止错误的SQL注入标志
• 中间件检测 --检测到办事员、NextAuth、Supabase中间件——身份验证结果降级
• 阻止评论意识 --内部图案 /* */ 被忽略
• 路径别名支持 — @/, ~/，并且tsconfig路径不会被标记为幻觉导入
• 路线豁免 --auth、webhook、运行状况和cron路由免于auth/速率限制检查
• 测试/脚本文件感知 --非生产文件的严重性较低
• 修复建议 --调查结果包括可采取行动 fix 带有修复代码的提示

评分

每个类别从100开始。根据调查结果扣除：

收益递减在一个类别中扣除30分后，进一步的扣除减半；50岁之后，四分卫。

加权总体安全性40%，可靠性30%，性能15%，人工智能质量15%。0楼。退出码 1 如果存在任何关键发现。

GitHub行动

增添 .github/workflows/prodlint.yml:

name: Prodlint
on: [pull_request]

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: prodlint/prodlint@v1
        with:
          threshold: 50

将分数细分作为公关评论发布，如果低于阈值，则构建失败。

SARIF+GitHub代码扫描

将prodlint结果上传到GitHub的安全选项卡：

- name: Run prodlint
  run: npx prodlint --sarif > prodlint.sarif

- name: Upload SARIF
  uses: github/codeql-action/upload-sarif@v4
  with:
    sarif_file: prodlint.sarif
    category: prodlint

现有项目的基线

逐渐采用prodlint，不要淹没在已有的发现中：

# Save current state as baseline
npx prodlint --baseline-save .prodlint-baseline.json

# CI only fails on NEW findings
npx prodlint --baseline .prodlint-baseline.json

MCP服务器

在Cursor、Claude Code或任何兼容MCP的编辑器中使用prodlint：

克劳德代码：

claude mcp add prodlint -- npx -y prodlint-mcp

光标/风帆：

{
  "mcpServers": {
    "prodlint": {
      "command": "npx",
      "args": ["-y", "prodlint-mcp"]
    }
  }
}

问你的AI： *“在此项目上运行prodlint”* 它称之为 scan 工具直接。

网站评分

检查任何已部署的网站是否已准备好AI代理——14项检查涵盖了新兴标准，如llms.txt、TDMRep、AgentCard、AI Disclosure、HTTP签名（RFC 9421）等。

npx prodlint --web example.com
npx prodlint --web example.com --json     # JSON output

  prodlint site score
  example.com · 14 checks

  Score: 42 C  ████████░░░░░░░░░░░░

  ✗ AI-Disclosure Header          0/10  No AI-Disclosure header found.
  ✗ Content-Usage Directives      0/10  No Content-Usage directives found.
  ✗ TDMRep                        0/10  No TDMRep found.
  ✗ A2A AgentCard                  0/5  No agent-card.json found.
  ✗ ai.txt                         0/5  No ai.txt found at site root.
  ! llms.txt                       2/5  llms.txt found but missing key sections.
  ✓ robots.txt                   10/10  robots.txt found with 15 rules.
  ✓ Sitemap                      10/10  Valid sitemap with 42 URLs.
  ✓ Structured Data              10/10  Found JSON-LD structured data.
  ✓ OpenGraph                    10/10  Complete OpenGraph tags found.
  ✓ Page Speed                    5/5   Loaded in 0.8s.
  ✓ AI Bot Directives             5/5   AI-specific bot rules found.
  ✓ WebMCP Tools                   0/5  No WebMCP tools detected.

  7 passed · 5 failed · 1 warnings

  Full results: https://prodlint.com/score?url=example.com

或者在以下网址交互式查看您的分数 prodlint.com/score.

AI工具

• LLM友好文档: prodlint.com/llms.txt --LLM简明项目总结
• 全参考: prodlint.com/llms-full.txt --全部52条规则及详细信息
• MCP设置指南: prodlint.com/mcp --Claude Code、Cursor、Windsurf的详细编辑器设置

prodlint是专门为AI生成的代码模式而设计的。每条规则都会检查人工智能编码工具持续创建的生产问题，而不是样式问题。

压制

抑制单行：

// prodlint-disable-next-line secrets
const key = "sk_test_example_for_docs"

抑制整个文件（放在顶部）：

// prodlint-disable secrets

程序化API

import { scan } from 'prodlint'

const result = await scan({ path: './my-project' })
console.log(result.overallScore) // 0-100
console.log(result.findings)     // Finding[]

徽章

[![prodlint](https://img.shields.io/badge/prodlint-85%2F100-brightgreen)](https://prodlint.com)

许可证

麻省理工学院