registry / mocode-ai / 0.2.9

mocode-ai@0.2.9

终端编码 agent:LLM + tool-call 循环 + 流式输出(含思考)+ 16 个工具,接任意 OpenAI 兼容后端。

Static Scan Results

scanned 14m ago · by rust-scanner

Static analysis flagged 11 finding(s) at 72.0% confidence. This version is warn-only unless an AI or security-team review confirms malicious behavior.

Static reason

One or more suspicious static signals were detected.

Decision evidence

public snapshot

Behavioral surface

Source

ChildProcessCryptoEnvironmentVarsFilesystemNetworkShellWebSocket

Supply chain

HighEntropyStringsUrlStrings

ManifestNo manifest risk signals triggered.

scanned 87 file(s), 523 KB of source, external domains: api.anysearch.com, api.deepseek.com, dashscope.aliyuncs.com, open.bigmodel.cn, registry.npmjs.org

Source & flagged code

3 flagged

dist/ui/clipboard.jsView file

Lines 1-33javascript

1import { stdout, platform } from 'node:process';

2import { spawn } from 'node:child_process';

3/**

High

Child Process

Package source references child process execution.

dist/ui/clipboard.jsView on unpkg · L1

4 * 系统剪贴板读写(叶子模块,无 UI 依赖)。

5 *

6 * 写入(copyToClipboard):选区复制(layout 鼠标选择)与 /copy 等命令共用,双通道:

7 * 1. OSC 52(`\x1B]52;c;<base64>\x07`):请求终端把文本写入系统剪贴板。经终端转发,SSH / 远程也生效;

8 * Windows Terminal ≥1.16、iTerm2、kitty、WezTerm 等支持(部分终端默认关,需开"允许应用访问剪贴板")。

9 * 2. 本地原生工具(best-effort,失败静默):win32=clip.exe(UTF-16LE)、darwin=pbcopy、

10 * linux=wl-copy / xclip / xsel。覆盖 OSC52 被禁用的场景(如部分 VS Code 集成终端配置)。

11 * 两条都发:哪条生效由环境决定,重复写同一内容无副作用。

12 *

13 * 读取(readClipboard):OSC 52 是单向的(终端不会把剪贴板内容回传给应用,即便发 `\x1B]52;c;?\x07`

14 * 请求读取,多数终端出于安全考虑不响应),故读只能靠本地原生工具:win32=PowerShell Get-Clipboard、

15 * darwin=pbpaste、linux=wl-paste / xclip -o / xsel -o。供鼠标点击输入框时"贴入"用。

High

Shell

Package source references shell execution.

dist/ui/clipboard.jsView on unpkg · L13

16 */

17/** OSC 52:base64(UTF-8) 写系统剪贴板(c=clipboard 选区)。 */

18function osc52(text) {

19 const b64 = Buffer.from(text, 'utf8').toString('base64');

20 // 长度保护:部分终端对 OSC52 载荷有上限(常见 ~74KB / 100KB),超限直接跳过 OSC52

21 // (仍走原生通道),避免半截 base64 污染终端。

22 if (b64.length > 100000)

23 return;

24 stdout.write(`\x1B]52;c;${b64}\x07`);

25}

26/** spawn 一个吃 stdin 的剪贴板工具,把 buf 写入其 stdin;所有错误静默(best-effort)。 */

27function pipeTo(cmd, args, buf) {

28 try {

29 const p = spawn(cmd, args, {

30 stdio: ['pipe', 'ignore', 'ignore'],

31 windowsHide: true,

32 });

33 p.on('error', () => { }); // 命令不存在等:静默(OSC52 兜底)

dist/pet/bridge.jsView file

Lines 100-140javascript

100 settled = true;

101 clearTimeout(timer);

102 resolve(false);

103 });

104 });

105}

106/**

107 * 拉起独立 Electron 桌宠进程(detached,不随当前 mocode 进程退出而杀死)。

108 * 前置条件:调用方已确认端口未被占用(避免重复 spawn)。

109 * 后置条件:

Source & flagged code

3 flagged · loading source

dist/ui/clipboard.jsView file

1import { stdout, platform } from 'node:process'; L2: import { spawn } from 'node:child_process'; L3: /**

High

Child Process

Package source references child process execution.

dist/ui/clipboard.jsView on unpkg · L1

13* 读取(readClipboard):OSC 52 是单向的(终端不会把剪贴板内容回传给应用,即便发 `\x1B]52;c;?\x07` L14: * 请求读取,多数终端出于安全考虑不响应),故读只能靠本地原生工具:win32=PowerShell Get-Clipboard、 L15: * darwin=pbpaste、linux=wl-paste / xclip -o / xsel -o。供鼠标点击输入框时"贴入"用。

High

Shell

Package source references shell execution.

dist/ui/clipboard.jsView on unpkg · L13

dist/pet/bridge.jsView file

120catch (e) { L121: reject(new Error('mocode-pet-app 未安装,请运行 npm install mocode-pet-app')); L122: return; ... L124: try { L125: const child = spawn(process.execPath, [binPath], { L126: detached: true,

High

Runtime Package Install

Package source invokes a package manager install command at runtime.

dist/pet/bridge.jsView on unpkg · L120

Findings

3 High3 Medium5 Low

HighChild Processdist/ui/clipboard.js

HighShelldist/ui/clipboard.js

HighRuntime Package Installdist/pet/bridge.js

MediumNetwork

MediumEnvironment Vars

MediumStructural Risk Force Deep Review

LowNon Install Lifecycle Scripts

LowScripts Present

LowFilesystem

LowHigh Entropy Strings

LowUrl Strings

Source & flagged code

3 flagged

dist/ui/clipboard.jsView file

Lines 1-33javascript

1import { stdout, platform } from 'node:process';

2import { spawn } from 'node:child_process';

3/**

High

Child Process

Package source references child process execution.

dist/ui/clipboard.jsView on unpkg · L1

4 * 系统剪贴板读写(叶子模块,无 UI 依赖)。

5 *

6 * 写入(copyToClipboard):选区复制(layout 鼠标选择)与 /copy 等命令共用,双通道:

7 * 1. OSC 52(`\x1B]52;c;<base64>\x07`):请求终端把文本写入系统剪贴板。经终端转发,SSH / 远程也生效;

8 * Windows Terminal ≥1.16、iTerm2、kitty、WezTerm 等支持(部分终端默认关,需开"允许应用访问剪贴板")。

9 * 2. 本地原生工具(best-effort,失败静默):win32=clip.exe(UTF-16LE)、darwin=pbcopy、

10 * linux=wl-copy / xclip / xsel。覆盖 OSC52 被禁用的场景(如部分 VS Code 集成终端配置)。

11 * 两条都发:哪条生效由环境决定,重复写同一内容无副作用。

12 *

13 * 读取(readClipboard):OSC 52 是单向的(终端不会把剪贴板内容回传给应用,即便发 `\x1B]52;c;?\x07`

14 * 请求读取,多数终端出于安全考虑不响应),故读只能靠本地原生工具:win32=PowerShell Get-Clipboard、

15 * darwin=pbpaste、linux=wl-paste / xclip -o / xsel -o。供鼠标点击输入框时"贴入"用。

High

Shell

Package source references shell execution.

dist/ui/clipboard.jsView on unpkg · L13

16 */

17/** OSC 52:base64(UTF-8) 写系统剪贴板(c=clipboard 选区)。 */

18function osc52(text) {

19 const b64 = Buffer.from(text, 'utf8').toString('base64');

20 // 长度保护:部分终端对 OSC52 载荷有上限(常见 ~74KB / 100KB),超限直接跳过 OSC52

21 // (仍走原生通道),避免半截 base64 污染终端。

22 if (b64.length > 100000)

23 return;

24 stdout.write(`\x1B]52;c;${b64}\x07`);

25}

26/** spawn 一个吃 stdin 的剪贴板工具,把 buf 写入其 stdin;所有错误静默(best-effort)。 */

27function pipeTo(cmd, args, buf) {

28 try {

29 const p = spawn(cmd, args, {

30 stdio: ['pipe', 'ignore', 'ignore'],

31 windowsHide: true,

32 });

33 p.on('error', () => { }); // 命令不存在等:静默(OSC52 兜底)

dist/pet/bridge.jsView file

Lines 100-140javascript

100 settled = true;

101 clearTimeout(timer);

102 resolve(false);

103 });

104 });

105}

106/**

107 * 拉起独立 Electron 桌宠进程(detached,不随当前 mocode 进程退出而杀死)。

108 * 前置条件:调用方已确认端口未被占用(避免重复 spawn)。

109 * 后置条件: