Open-source REA Lab：固定 npm 包後只分析入口切片

想解決什麼問題

怎樣先固定釋出物身份，再在有限預算裡回答入口檔案做什麼？

REA 具體做了什麼

獨立 Python 審計器先檢查壓縮包結構與 hash；REA 靜態分析從已核對包提取的兩個原樣檔案。入口分支的語義說明還結合人工語法檢查，不能把獨立審計器或人工結論歸為 REA 輸出。

原作者報告的成果

公開固定摘要、審計 JSON、脫敏 Evidence 摘要和復現指令碼；切片報告 1 個已解析 JS、469 AST 節點、14 條 findings、零解析失敗，並明確完整包分析曾因語義擴充套件而中斷。

侷限與未驗證項

14 條 findings 不是漏洞數；切片保留 110 個語義未知項，缺失 dist 實現，不能推出完整包安全或執行正確。脫敏摘要不是可重放的 canonical Evidence，完整包僅有部分覆蓋；本倉庫未復跑。

可以借鑑什麼

縮小問題與輸入邊界，保留中斷和未知項；結構檢查、位元組身份與執行安全是不同結論。

原文中的 REA 使用證據

Can REA statically parse the actual shipped dispatcher?

短摘錄簡化了排版，完整上下文以原文為準。

原始來源

• 公開原文 / 固定版本證據
• 專案 / 演示
• 補充來源 1
• 補充來源 2

本頁為獨立整理，成果歸原作者。目標軟體、安裝包和完整反編譯輸出不在此分發。