RepoVerse is a free tool that turns any public GitHub repository into an explorable 3D city in the browser. Folders become districts, files become buildings sized by how much code they hold, and the dependencies between them become the roads running from one to another. It runs on Three.js and needs no install and no signup for public repositories.

How does RepoVerse build a city from a repository?

It clones the repository, parses every source file into an abstract syntax tree, and reads the import statements to find what depends on what. That graph is laid out as a city: a folder becomes a district, a file becomes a building whose height is its line count, and each resolved import becomes a road. Git history is read in parallel, so how often a file changes and how recently are visible in the skyline rather than buried in a log.

Yes. Scanning public repositories, exploring the 3D city, sharing a link to one and the written summary every city carries are all free and need no account. A paid plan adds private repositories and the security review, which checks every declared dependency against the OSV vulnerability database and reads the repository's own source for hard-coded credentials, injectable queries and disabled certificate checks.

Which languages does RepoVerse support?

Python, JavaScript, TypeScript and TSX are parsed for functions, classes and imports. Go, Rust, Java, Kotlin, C#, PHP, Ruby, C++ and Swift are mapped as files and districts. RepoVerse can also scan a public website instead of a repository, returning its pages, scripts, stylesheets and the technologies it detects.

Does RepoVerse need access to my private code?

Not for public repositories — those are read anonymously and nothing is stored beyond the generated city. Private repositories need you to sign in with GitHub and grant access, and that token is used only to fetch the repository you asked for. The repository itself is never sent to a third party.

What is the metropolis?

The metropolis is a single 3D world holding every repository anyone has scanned. Each one owns the land around it, projects that share dependencies meet at a border, and the dependencies between them are roads with traffic moving along them. You can fly over it and walk into any city you find.

Tuzlu SHA-256 parolalar için yeterli mi?

Hayır. Tuz önceden hesaplanmış tabloları durdurur ama SHA-256 hızlı olacak şekilde tasarlanmıştır; parola kıran bir saldırganın istediği de budur. Parola hash'leri bilerek yavaş ve ayarlanabilirdir.

RepoVerse düz metin parolaları nasıl tespit ediyor?

Yakınında hiçbir hash çağrısı ve modelde kaydetme öncesi hash'leme kancası olmadan insert, save veya create çağrılarıyla veritabanına yazılan parola alanlarını arar.

English

Parola saklama: bcrypt, scrypt veya Argon2 ile hash'le

Düz metin parolalardan oluşan bir veritabanı, insanlar parolalarını tekrar kullandığı için başka sitelerin giriş bilgilerinin listesidir. Tabloyu okuyan kişi — bir yedek, bir injection veya bir içeriden kişi aracılığıyla — hepsini alır.

Örnek

Zafiyetli

this.addUser = (userName, password, callback) => {
  users.insertOne({ userName, password }, callback);
};

Güvenli

const bcrypt = require("bcrypt");

this.addUser = async (userName, password) => {
  const hash = await bcrypt.hash(password, 12);
  return users.insertOne({ userName, password: hash });
};
// at login: await bcrypt.compare(attempt, user.password)

Nasıl ters gider

Doğrudan users tablosuna yazılan parolalar bariz durumdur. Hızlı hash'ler ise ince olanıdır: MD5, SHA-1 ve düz SHA-256 bir GPU'da saniyede milyarlarca kez hesaplanabilir; sızan bir tablo günler içinde kırılır. Tuzsuz hash'ler ayrıca önceden hesaplanmış tek bir tablonun tüm kullanıcıları kapsamasına izin verir.

Nasıl düzeltilir

Yavaş, tuzlu bir parola hash'i ve kütüphanenin doğrulama fonksiyonunu kullan.

bcrypt (maliyet 12 veya üzeri), scrypt veya Argon2id
String karşılaştırarak değil, kütüphanenin sabit zamanlı karşılaştırmasıyla doğrula
Maliyeti artırdığında girişte yeniden hash'le
Giriş denemelerini sınırla ve kullanıcı adının var olup olmadığını belli etme

RepoVerse bunu nasıl bulur

YüksekParola hash'lenmeden saklanıyor
Veritabanını okuyabilen herkes — bir yedek, bir injection, bir içeriden kişi — tüm kullanıcıların parolalarını, onlarla da diğer sitelerdeki hesaplarını ele geçirir.
veri akışı · CWE-256
OrtaParola veya token kırılmış bir özetle hash'lenmiş
MD5 ve SHA-1 hızlıdır ve çakışmaya açıktır; bir secret için tam olarak yanlış olan şey budur — sıradan bir GPU çalınmış tabloyu gezer.
örüntü

Sorular

Tuzlu SHA-256 parolalar için yeterli mi?: Hayır. Tuz önceden hesaplanmış tabloları durdurur ama SHA-256 hızlı olacak şekilde tasarlanmıştır; parola kıran bir saldırganın istediği de budur. Parola hash'leri bilerek yavaş ve ayarlanabilirdir.
RepoVerse düz metin parolaları nasıl tespit ediyor?: Yakınında hiçbir hash çağrısı ve modelde kaydetme öncesi hash'leme kancası olmadan insert, save veya create çağrılarıyla veritabanına yazılan parola alanlarını arar.

İlgili

Güncellendi 2026-10-11