Open-source REA Lab：固定 npm 包后只分析入口切片

想解决什么问题

怎样先固定发布物身份，再在有限预算里回答入口文件做什么？

REA 具体做了什么

独立 Python 审计器先检查压缩包结构与 hash；REA 静态分析从已核对包提取的两个原样文件。入口分支的语义说明还结合人工语法检查，不能把独立审计器或人工结论归为 REA 输出。

原作者报告的成果

公开固定摘要、审计 JSON、脱敏 Evidence 摘要和复现脚本；切片报告 1 个已解析 JS、469 AST 节点、14 条 findings、零解析失败，并明确完整包分析曾因语义扩展而中断。

局限与未验证项

14 条 findings 不是漏洞数；切片保留 110 个语义未知项，缺失 dist 实现，不能推出完整包安全或运行正确。脱敏摘要不是可重放的 canonical Evidence，完整包仅有部分覆盖；本仓库未复跑。

可以借鉴什么

缩小问题与输入边界，保留中断和未知项；结构检查、字节身份与运行安全是不同结论。

原文中的 REA 使用证据

Can REA statically parse the actual shipped dispatcher?

短摘录简化了排版，完整上下文以原文为准。

原始来源

• 公开原文 / 固定版本证据
• 项目 / 演示
• 补充来源 1
• 补充来源 2

本页为独立中文整理，成果归原作者。目标软件、安装包和完整反编译输出不在此分发。