RepoVerse is a free tool that turns any public GitHub repository into an explorable 3D city in the browser. Folders become districts, files become buildings sized by how much code they hold, and the dependencies between them become the roads running from one to another. It runs on Three.js and needs no install and no signup for public repositories.

How does RepoVerse build a city from a repository?

It clones the repository, parses every source file into an abstract syntax tree, and reads the import statements to find what depends on what. That graph is laid out as a city: a folder becomes a district, a file becomes a building whose height is its line count, and each resolved import becomes a road. Git history is read in parallel, so how often a file changes and how recently are visible in the skyline rather than buried in a log.

Yes. Scanning public repositories, exploring the 3D city, sharing a link to one and the written summary every city carries are all free and need no account. A paid plan adds private repositories and the security review, which checks every declared dependency against the OSV vulnerability database and reads the repository's own source for hard-coded credentials, injectable queries and disabled certificate checks.

Which languages does RepoVerse support?

Python, JavaScript, TypeScript and TSX are parsed for functions, classes and imports. Go, Rust, Java, Kotlin, C#, PHP, Ruby, C++ and Swift are mapped as files and districts. RepoVerse can also scan a public website instead of a repository, returning its pages, scripts, stylesheets and the technologies it detects.

Does RepoVerse need access to my private code?

Not for public repositories — those are read anonymously and nothing is stored beyond the generated city. Private repositories need you to sign in with GitHub and grant access, and that token is used only to fetch the repository you asked for. The repository itself is never sent to a third party.

What is the metropolis?

The metropolis is a single 3D world holding every repository anyone has scanned. Each one owns the land around it, projects that share dependencies meet at a border, and the dependencies between them are roads with traffic moving along them. You can fly over it and walk into any city you find.

Geliştirme bağımlılıkları risk mi?

Kullanıcılara gönderilmedikleri için çalışma zamanı bağımlılıklarından daha az, ama geliştirici makinelerinde ve CI'da çalışırlar. RepoVerse önce production riski okunsun diye onları işaretler.

Bağımlılıklar ne sıklıkla kontrol edilmeli?

Lockfile'daki her değişiklikte ve düzenli aralıklarla; çünkü zaten sahip olduğun sürümlere karşı yeni zafiyetler yayımlanır.

English

Zafiyetli bağımlılıklar: senin yazmadığın kod

Tipik bir web projesi kendi kodundan çok daha fazla üçüncü taraf kod gönderir; çoğu dolaylı olarak gelir. Bunların herhangi birindeki bilinen bir zafiyet, uygulamandaki bilinen bir zafiyettir.

Örnek

Zafiyetli

"node_modules/lodash": {
  "version": "4.17.15"
}
// prototype pollution and command injection advisories apply

Güvenli

"node_modules/lodash": {
  "version": "4.17.21"
}
// one upgrade clears every advisory against 4.17.15

Nasıl oluşur

Paketler bir kez eklenir ve nadiren yeniden ele alınır; lockfile onları o gün kurulan sürümde sabit tutar. Zafiyetler daha sonra tam o sürümlere karşı yayımlanır. Dolaylı paketler — bağımlılıkların bağımlılıkları — çoğunluktur ve en az görünenlerdir; bir siteye CDN'den kopyalanan kütüphaneler de genelde sayfanın yapıldığı günkü sürümde kalır.

Nasıl düzeltilir

Tahminle değil, kanıtla yükselt.

Manifest'teki aralıkları değil, lockfile'daki sürümleri kontrol et
Mevcut ana sürüm hattında tüm zafiyetleri kapatan yükseltmeyi tercih et
Dolaylı paketler için onları getiren doğrudan bağımlılığı yükselt
Kullanımdan kaldırılmış veya düzeltilmiş sürümü olmayan paketleri değiştir

RepoVerse bunu nasıl bulur

YüksekBilinen zafiyetleri olan front-end kütüphanesi
Sayfa, yayımlanmış zafiyetleri olan bir kütüphane sürümü gönderiyor; zafiyetli kod her ziyaretçinin tarayıcısında çalışıyor.
web sitesi · CWE-1104
DüşükÜçüncü taraf script bütünlük kontrolü olmadan yükleniyor
CDN veya diğer site ele geçirilirse sunduğu script sayfalarında tam yetkiyle çalışır — birçok kart bilgisi çalma saldırısının arkasındaki tedarik zinciri yolu.
web sitesi · CWE-353

Sorular

Geliştirme bağımlılıkları risk mi?: Kullanıcılara gönderilmedikleri için çalışma zamanı bağımlılıklarından daha az, ama geliştirici makinelerinde ve CI'da çalışırlar. RepoVerse önce production riski okunsun diye onları işaretler.
Bağımlılıklar ne sıklıkla kontrol edilmeli?: Lockfile'daki her değişiklikte ve düzenli aralıklarla; çünkü zaten sahip olduğun sürümlere karşı yeni zafiyetler yayımlanır.

İlgili

Güncellendi 2026-10-11