Junhan2/reaproof

これは何？

主な機能

• 01ビルド成果物のreaリスクを「非常に高い」から「基準レベル」まで評価し、検出項目ごとに説明を表示する。
• 02元のソースコードが露出するソースマップを検出し、バックアップに移動して元に戻せる修正を提示する。
• 03Stripeのシークレットキー、AWSアクセスキー、AIサービスのキーなど、出荷ファイルに含まれるサーバー専用キーを検出する。
• 04.envの値やCI環境のシークレットを、実際に出荷される内容と照合する。
• 05エージェント向けのJSONとGitHub code scanning向けのSARIFを出力し、リリース可否の判定に使える終了コードを返す。

ユースケース

• デプロイ前にNext.jsやViteのWebビルドをチェックし、ソースマップやAPIキーの漏えいを確認する。
• 重大または高リスクの検出項目がある場合にビルドを停止するよう、CIリリースパイプラインにゲートを設ける。
• ユーザーに配布する前に、Electron、Tauri、Androidのリリースパッケージを監査する。
• コーディングエージェントにチェックを実行させ、プロジェクト内の指摘事項を修正させる。

クイックスタート

1. 1

   インストール不要で、プロジェクトのフォルダー内からツールを実行できます

   npx reaproof

使う前に知っておきたいこと

• !Node.js 18.3以降が必要です。
• !評価できるのはビルドのみです。baseline の評価はアプリが完全に隠れていることを意味しないため、情報が一切漏れていないことは確認できません。

収録されている特集

トピック

よくある質問

reaproof とは？

出荷するアプリのビルド成果物がreaなどのAIリバースエンジニアリングエージェントにどれほど解析されやすいかを評価し、安全に直せる問題を修正するワンコマンドCLI。 Reaproofは、Web・デスクトップ・モバイルアプリのリリース前にビルド成果物をスキャンし、reaのようなAIリバースエンジニアリングエージェントがそこから何を取り出せるかを報告します。元のソースコードが含まれるソースマップの残存、サーバー専用APIキー、出荷ファイルに混入した.envの値、.gitフォルダー、デバッグシンボル、AndroidのdebuggableやElectron fusesなどの開発時専用ビルドフラグを検出します。各検出項目には深刻度が付けられ、平易な説明と適用すべき修正方法が示されます。

reaproof は無料で使えますか？ライセンスは？

reaproof は MIT ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

reaproof は今もメンテナンスされていますか？

活発にメンテナンス中。reaproof の最終コミットは 2026年10月19日 です。

reaproof は何に使えますか？

デプロイ前にNext.jsやViteのWebビルドをチェックし、ソースマップやAPIキーの漏えいを確認する。 重大または高リスクの検出項目がある場合にビルドを停止するよう、CIリリースパイプラインにゲートを設ける。 ユーザーに配布する前に、Electron、Tauri、Androidのリリースパッケージを監査する。 コーディングエージェントにチェックを実行させ、プロジェクト内の指摘事項を修正させる。

reaproof のインストール方法は？

インストール不要で、プロジェクトのフォルダー内からツールを実行できます: npx reaproof

reaproof はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/Junhan2/reaproof