RepoVerse is a free tool that turns any public GitHub repository into an explorable 3D city in the browser. Folders become districts, files become buildings sized by how much code they hold, and the dependencies between them become the roads running from one to another. It runs on Three.js and needs no install and no signup for public repositories.

How does RepoVerse build a city from a repository?

It clones the repository, parses every source file into an abstract syntax tree, and reads the import statements to find what depends on what. That graph is laid out as a city: a folder becomes a district, a file becomes a building whose height is its line count, and each resolved import becomes a road. Git history is read in parallel, so how often a file changes and how recently are visible in the skyline rather than buried in a log.

Yes. Scanning public repositories, exploring the 3D city, sharing a link to one and the written summary every city carries are all free and need no account. A paid plan adds private repositories and the security review, which checks every declared dependency against the OSV vulnerability database and reads the repository's own source for hard-coded credentials, injectable queries and disabled certificate checks.

Which languages does RepoVerse support?

Python, JavaScript, TypeScript and TSX are parsed for functions, classes and imports. Go, Rust, Java, Kotlin, C#, PHP, Ruby, C++ and Swift are mapped as files and districts. RepoVerse can also scan a public website instead of a repository, returning its pages, scripts, stylesheets and the technologies it detects.

Does RepoVerse need access to my private code?

Not for public repositories — those are read anonymously and nothing is stored beyond the generated city. Private repositories need you to sign in with GitHub and grant access, and that token is used only to fetch the repository you asked for. The repository itself is never sent to a third party.

What is the metropolis?

The metropolis is a single 3D world holding every repository anyone has scanned. Each one owns the land around it, projects that share dependencies meet at a border, and the dependencies between them are roads with traffic moving along them. You can fly over it and walk into any city you find.

RepoVerse hangi secret formatlarını tanıyor?

AWS, GitHub, Stripe, Slack, OpenAI, Anthropic, SendGrid ve Google servis hesapları için sağlayıcı formatları, PEM özel anahtarları, parolalı bağlantı string'leri ve secret adlı değişkenlere atanmış yüksek entropili değerler. Placeholder'lar ve test fixture'ları dışarıda bırakılır.

Canlı bir web sitesinde secret bulabilir mi?

Evet. Web sitesi incelemesi sayfa HTML'ini, sitenin kendi script'lerini ve yayımlanmış source map'leri sağlayıcı formatındaki secret anahtarlar için tarar ve bulduklarının yalnızca ilk karakterlerini gösterir.

English

Koda gömülü secret'lar: kodda, commit'lerde ve paketlerde API anahtarları

Kaynak koddaki bir anahtarı kodu okuyabilen herkes okuyabilir — herkese açık bir repo veya bir web sitesi paketi için bu herkes demektir. Otomatik tarayıcılar yeni anahtarları bir push'tan dakikalar sonra bulur.

Örnek

Zafiyetli

// committed to the repository and shipped in the bundle
const stripe = new Stripe("sk_live_…");
const DB_PASSWORD = "Tr0ub4dor&3";

Güvenli

// read from the environment on the server; rotate anything that was committed
const stripe = new Stripe(process.env.STRIPE_SECRET_KEY);
const DB_PASSWORD = process.env.DB_PASSWORD;
// the browser only ever sees publishable keys (pk_live_…)

Nasıl oluşur

Bir şeyi yerelde çalıştırmak için bir anahtar yapıştırılır, bir .env dosyası yanlışlıkla commit edilir veya sunucu tarafı bir secret front-end kodundan referans alınıp JavaScript paketine düşer. Satırı sonradan silmek işe yaramaz: değer git geçmişinde, her klonda ve önbellekte kalır.

Nasıl düzeltilir

Commit edilmiş her secret'ı sızmış say.

Önce sağlayıcının panelinden anahtarı iptal et ve yenile
Secret'ları sunucuda ortam değişkeninden veya bir secret yöneticisinden oku
Front-end kodunda yalnızca yayımlanabilir anahtarlar tut (Stripe pk_…, kısıtlı tarayıcı anahtarları)
.env'i .gitignore'a ekle ve push etmeden önce tara

RepoVerse bunu nasıl bulur

YüksekKimlik bilgisi düz metin olarak atanmış
Bir parola, secret, token veya API anahtarı yapılandırmadan okunmak yerine doğrudan string olarak atanmış.
örüntü
KritikKaynak kodda AWS erişim anahtarı
Koda gömülü bir `AKIA…` erişim anahtarı var.
örüntü
KritikKaynak kodda GitHub token'ı
Koda gömülü bir GitHub token'ı var.
örüntü
KritikKaynak kodda canlı Stripe gizli anahtarı
Koda gömülü bir `sk_live_…` anahtarı var.
örüntü
KritikKaynak kodda OpenAI veya Anthropic API anahtarı
Koda gömülü bir model sağlayıcı anahtarı var.
örüntü · CWE-798
KritikRepoya özel anahtar eklenmiş
Kaynak kodda bir PEM özel anahtar bloğu var.
örüntü
YüksekKimlik bilgisine atanmış uzun ve rastgele görünen değer
Değişken adı kimlik bilgisi diyor ve değer yoğun, rastgele — yer tutucudan çok gerçek bir anahtarın şeklinde.
örüntü · CWE-798
KritikOrtam dosyası repoya eklenmiş
Gerçek değerler taşıyan bir `.env` repoda; içindeki her secret klonlayabilen herkes tarafından okunabilir ve silindikten sonra geçmişte okunmaya devam eder.
örüntü · CWE-538
KritikGizli anahtar herkese açık bir sayfada veya script'te görünüyor
Sayfa kaynağını açan herkes anahtara sahip olur ve onu hesabının yetkileriyle kullanabilir — bunlar otomatik olarak taranıyor.
web sitesi · CWE-798

Sorular

RepoVerse hangi secret formatlarını tanıyor?: AWS, GitHub, Stripe, Slack, OpenAI, Anthropic, SendGrid ve Google servis hesapları için sağlayıcı formatları, PEM özel anahtarları, parolalı bağlantı string'leri ve secret adlı değişkenlere atanmış yüksek entropili değerler. Placeholder'lar ve test fixture'ları dışarıda bırakılır.
Canlı bir web sitesinde secret bulabilir mi?: Evet. Web sitesi incelemesi sayfa HTML'ini, sitenin kendi script'lerini ve yayımlanmış source map'leri sağlayıcı formatındaki secret anahtarlar için tarar ve bulduklarının yalnızca ilk karakterlerini gösterir.

İlgili

Güncellendi 2026-10-11