RepoVerse is a free tool that turns any public GitHub repository into an explorable 3D city in the browser. Folders become districts, files become buildings sized by how much code they hold, and the dependencies between them become the roads running from one to another. It runs on Three.js and needs no install and no signup for public repositories.

How does RepoVerse build a city from a repository?

It clones the repository, parses every source file into an abstract syntax tree, and reads the import statements to find what depends on what. That graph is laid out as a city: a folder becomes a district, a file becomes a building whose height is its line count, and each resolved import becomes a road. Git history is read in parallel, so how often a file changes and how recently are visible in the skyline rather than buried in a log.

Yes. Scanning public repositories, exploring the 3D city, sharing a link to one and the written summary every city carries are all free and need no account. A paid plan adds private repositories and the security review, which checks every declared dependency against the OSV vulnerability database and reads the repository's own source for hard-coded credentials, injectable queries and disabled certificate checks.

Which languages does RepoVerse support?

Python, JavaScript, TypeScript and TSX are parsed for functions, classes and imports. Go, Rust, Java, Kotlin, C#, PHP, Ruby, C++ and Swift are mapped as files and districts. RepoVerse can also scan a public website instead of a repository, returning its pages, scripts, stylesheets and the technologies it detects.

Does RepoVerse need access to my private code?

Not for public repositories — those are read anonymously and nothing is stored beyond the generated city. Private repositories need you to sign in with GitHub and grant access, and that token is used only to fetch the repository you asked for. The repository itself is never sent to a third party.

What is the metropolis?

The metropolis is a single 3D world holding every repository anyone has scanned. Each one owns the land around it, projects that share dependencies meet at a border, and the dependencies between them are roads with traffic moving along them. You can fly over it and walk into any city you find.

Her iç içe niceleyici tehlikeli mi?

Hayır. Her tekrar grubun geri kalanının eşleşemeyeceği sabit bir karakterle başlamak zorundaysa — bir sürüm numarasındaki (\.\d+)* gibi — girdiyi bölmenin tek bir yolu vardır ve eşleşme doğrusal kalır. RepoVerse her iç içe grubu işaretlemek yerine bunları ayırt eder.

ReDoS Node.js'te neden daha kötü?

Düzenli ifadeler ana thread'de çalışır; yavaş bir eşleşme bitene kadar sunucudaki diğer tüm istekleri bloklar.

English

ReDoS: tek bir düzenli ifade sunucuyu nasıl kilitler

Bazı düzenli ifadeler neredeyse eşleşen girdide üstel süre harcar. Tek bir event loop'un her isteğe hizmet ettiği Node.js'te böyle tek bir eşleşme tüm sunucuyu durdurur.

Örnek

Zafiyetli

const BANK_ROUTING = /([0-9]+)+\#/;

app.post("/profile", (req, res) => {
  if (!BANK_ROUTING.test(req.body.bankRouting)) return res.sendStatus(400);
  save(req.body);
});

Güvenli

const BANK_ROUTING = /^[0-9]{1,17}#$/;

app.post("/profile", (req, res) => {
  const value = String(req.body.bankRouting).slice(0, 32);
  if (!BANK_ROUTING.test(value)) return res.sendStatus(400);
  save(req.body);
});

Nasıl oluşur

İçeriği kendisi tekrar edebilen tekrarlı bir grup — (a+)+, ([0-9]+)+, (\w+\s?)+ — motora aynı girdiyi bölmenin birçok yolunu verir. Genel eşleşme başarısız olduğunda hepsini dener. Eşleşmeyi bozan bir karakterle biten otuz rakam saniyeler sürebilir; kırk rakam dakikalar. Kullanıcı girdisinden desen derlemek (new RegExp(req.query.q)) desenin kendisini saldırgana verir.

Nasıl düzeltilir

Her tekrarı belirsizlikten kurtar.

İç içe niceleyiciyi kaldır: ([0-9]+)+ yerine [0-9]+
Deseni sabitle ve tekrar sayılarını sınırla ({1,17})
Eşleştirmeden önce girdi uzunluğunu sınırla
Desen kurmadan önce kullanıcı girdisini escape et veya string karşılaştırması kullan

RepoVerse bunu nasıl bulur

Yüksekİstek girdisi geri izlemeye açık bir düzenli ifadeyle eşleştiriliyor
İç içe niceleyiciler üstel geri izleme yapar. Birkaç düzine özel karakter CPU'yu kilitler; Node'un tek event loop'unda bu, sunucudaki her isteği durdurur.
veri akışı · CWE-1333
Ortaİstek girdisi düzenli ifadeye derleniyor
Deseni çağıranın kendisi verir — sonsuza kadar geri izleyen bir desen de dahil.
veri akışı · CWE-1333
DüşükKilitlenmeye zorlanabilen düzenli ifade
`(a+)+` gibi iç içe niceleyiciler üstel olarak geri izler; birkaç düzine karakterlik hazırlanmış bir girdi bir CPU çekirdeğini kilitler.
örüntü · CWE-1333

Sorular

Her iç içe niceleyici tehlikeli mi?: Hayır. Her tekrar grubun geri kalanının eşleşemeyeceği sabit bir karakterle başlamak zorundaysa — bir sürüm numarasındaki (\.\d+)* gibi — girdiyi bölmenin tek bir yolu vardır ve eşleşme doğrusal kalır. RepoVerse her iç içe grubu işaretlemek yerine bunları ayırt eder.
ReDoS Node.js'te neden daha kötü?: Düzenli ifadeler ana thread'de çalışır; yavaş bir eşleşme bitene kadar sunucudaki diğer tüm istekleri bloklar.

İlgili

Güncellendi 2026-10-11