RepoVerse is a free tool that turns any public GitHub repository into an explorable 3D city in the browser. Folders become districts, files become buildings sized by how much code they hold, and the dependencies between them become the roads running from one to another. It runs on Three.js and needs no install and no signup for public repositories.

How does RepoVerse build a city from a repository?

It clones the repository, parses every source file into an abstract syntax tree, and reads the import statements to find what depends on what. That graph is laid out as a city: a folder becomes a district, a file becomes a building whose height is its line count, and each resolved import becomes a road. Git history is read in parallel, so how often a file changes and how recently are visible in the skyline rather than buried in a log.

Yes. Scanning public repositories, exploring the 3D city, sharing a link to one and the written summary every city carries are all free and need no account. A paid plan adds private repositories and the security review, which checks every declared dependency against the OSV vulnerability database and reads the repository's own source for hard-coded credentials, injectable queries and disabled certificate checks.

Which languages does RepoVerse support?

Python, JavaScript, TypeScript and TSX are parsed for functions, classes and imports. Go, Rust, Java, Kotlin, C#, PHP, Ruby, C++ and Swift are mapped as files and districts. RepoVerse can also scan a public website instead of a repository, returning its pages, scripts, stylesheets and the technologies it detects.

Does RepoVerse need access to my private code?

Not for public repositories — those are read anonymously and nothing is stored beyond the generated city. Private repositories need you to sign in with GitHub and grant access, and that token is used only to fetch the repository you asked for. The repository itself is never sent to a third party.

What is the metropolis?

The metropolis is a single 3D world holding every repository anyone has scanned. Each one owns the land around it, projects that share dependencies meet at a border, and the dependencies between them are roads with traffic moving along them. You can fly over it and walk into any city you find.

React XSS'i önler mi?

React JSX'te render edilen değerleri escape eder; bu da XSS'in çoğunu önler. dangerouslySetInnerHTML, javascript: ile başlayan href değerleri ve sunucu tarafında string kurmak bu korumayı atlar.

Content-Security-Policy XSS'e karşı yeterli mi?

İkinci bir katmandır: sıkı bir CSP enjekte edilen script'lerin çoğunun çalışmasını durdurur ama injection yine de bir hatadır. Çıktı kodlamasını düzelt ve CSP'yi koru.

English

Siteler arası betik (XSS): nasıl çalışır, nasıl durdurulur

XSS, güvenilmeyen metnin sayfaya HTML olarak yazılmasıdır. Tarayıcı senin script'inle saldırganın sızdırdığını ayırt edemez; ikisini de çalıştırır — senin origin'inde, ziyaretçinin oturumuyla.

Örnek

Zafiyetli

app.get("/search", (req, res) => {
  res.send("<h1>Results for " + req.query.q + "</h1>");
});

// client side
results.innerHTML = comment.body;

Güvenli

import escapeHtml from "escape-html";

app.get("/search", (req, res) => {
  res.send("<h1>Results for " + escapeHtml(String(req.query.q)) + "</h1>");
});

// client side
results.textContent = comment.body;
// or, when HTML is required: results.innerHTML = DOMPurify.sanitize(comment.body);

Nasıl oluşur

Yansıtılan XSS, parametresi yanıta geri yazılan hazırlanmış bir link gönderir. Kalıcı XSS payload'u — bir yorum, bir profil alanı — kaydeder ve onu görüntüleyen herkese sunar. DOM tabanlı XSS tamamen tarayıcıda; innerHTML, document.write veya insertAdjacentHTML üzerinden olur. Otomatik escape'i kapalı şablonlar render edilen her değişkeni bir adaya çevirir.

Nasıl düzeltilir

Çıktıda escape et ve enjekte edilen bir script'in yapabileceklerini sınırla.

Metni metin olarak bas: textContent, escape edilen şablon değişkenleri, React'in varsayılan render'ı
Şablon otomatik escape'ini açık tut; yalnızca temizlenmiş değerleri safe olarak işaretle
HTML gerçekten gerekiyorsa DOMPurify ile temizle
'unsafe-inline' içermeyen bir Content-Security-Policy ve HttpOnly oturum cookie'leri ekle

RepoVerse bunu nasıl bulur

Yüksekİstek girdisi sayfaya HTML olarak yazılıyor
Girdideki script, kurbanın tarayıcısında senin origin'inde ve onun oturumuyla çalışır.
veri akışı · CWE-79
Yüksekİstek girdisi HTML yanıtın içinde geri gönderiliyor
Hazırlanmış bir link, yanıtın saldırganın script'ini taşımasını sağlar; script de senin siten olarak çalışır.
veri akışı · CWE-79
YüksekŞablonlarda otomatik escape kapatılmış
Şablona basılan her değişken ham HTML olarak çıkar; sayfada gösterilen her kullanıcı alanı kalıcı veya yansıtılmış XSS olur.
veri akışı · CWE-79
OrtaBir değerden HTML yazılıyor
Bir değişken DOM'a metin olarak değil HTML olarak yazılıyor.
örüntü
YüksekLink hedefi bir değerden alınıyor
Bir `href` veya `action` değişkenden atanıyor.
örüntü · CWE-79
OrtaCSP satır içi script'lere izin veriyor
`script-src` içindeki `'unsafe-inline'`, enjekte edilen `<script>` etiketlerinin ve event handler'ların çalışmasına izin verir — CSP'nin asıl engellemek için var olduğu şey.
web sitesi · CWE-79

Sorular

React XSS'i önler mi?: React JSX'te render edilen değerleri escape eder; bu da XSS'in çoğunu önler. dangerouslySetInnerHTML, javascript: ile başlayan href değerleri ve sunucu tarafında string kurmak bu korumayı atlar.
Content-Security-Policy XSS'e karşı yeterli mi?: İkinci bir katmandır: sıkı bir CSP enjekte edilen script'lerin çoğunun çalışmasını durdurur ama injection yine de bir hatadır. Çıktı kodlamasını düzelt ve CSP'yi koru.

İlgili

Güncellendi 2026-10-11