健康度评分
对任意公开 GitHub 仓库给出 0–100 总分与字母等级，并拆成 activity、maintenance、community、documentation、maturity 五个加权维度，全部基于公开 GitHub 数据计算。
价格TrustOSS 是一个免费的网页工具
平台Web / CLI
归类AI 智能体
收录2026-10-11
复核2026-10-11
编辑评分
4.1 / 5
★★★★☆
TrustOSS编辑总结
TrustOSS 是一个面向开发者的免费网页工具，用于在引入某个开源依赖前先评估它的可信度。它给任意公开 GitHub 仓库打分：0–100 总分加字母等级，由 activity（25%）、maintenance（25%）、community（20%）、documentation（15%）、maturity（15%）五个加权维度构成。除健康度外，它还能审计星标真实性、用 OSV 漏洞数据做深度扫描、并排对比 2–4 个候选库，并提供可嵌入 README 的实时分数徽章。短板是它只处理公开 GitHub 数据，非 GitHub 托管的项目无法分析。
TrustOSS是什么？
TrustOSS 是一个免费网页工具，专门分析开源 GitHub 仓库的健康程度，帮助开发者在把一个依赖装进项目之前，先判断它值不值得信任。它面向的是需要选型的开发者、维护者与技术团队。
只要输入 owner/repo、GitHub 链接，或者像「rust http client」「markdown editor」「facebook/react」这样的关键词，就能得到一份报告：0–100 的健康分与字母等级，拆成 activity、maintenance、community、documentation、maturity 五个维度；深度扫描会调取 OSV 的已知漏洞、deps.dev 的真实依赖包、提交集中度算出的 bus factor、CI 通过率、PR 合并率，以及是否只有文档没有代码。
每个报告都有一个可分享的 /repo/owner/name 链接。普通用户可以直接搜索比对；命令行用户通过 npm i -g trustoss-cli 安装后，在终端里运行 analyze、deep-scan、star-audit；AI 编码代理也能装上对应的 skill，自动为依赖做审查。
TrustOSS核心功能
虚假星标审计
绘制仓库的星标增长曲线，并按账号年龄、关注者数量、仓库数量给最近加星的用户画像，分为 veteran、active developer、casual、newcomer、empty profile 五类，用曲线突增配合大量空账号的模式标记买来的热度。
深度扫描
从 OSV 拉取已知漏洞、从 deps.dev 获取真实依赖包，计算提交集中度得出的 bus factor、CI 通过率、PR 合并率，并识别项目是否只有文档没有代码，结果以 OK/WARN/RISK 三档呈现并附带依据。
排对比
一次挑 2–4 个候选库，得到一张雷达图加一份覆盖全部五个维度的分数表，评分最高的一项会被高亮标出。
README 徽章
提供一个可嵌入的 SVG 徽章，实时展示仓库当前的 TrustOSS 分数，直接粘贴进任意 README 即可使用。
CLI 与代理技能
trustoss-cli 包把 analyze、deep-scan、star-audit 三条命令带到终端，同时安装一个 skill，让 AI 编码代理能自动为项目依赖做审查。
TrustOSS适合谁用？
选型中的开发者
推荐要在几个候选库之间做决定时，输入关键词或 owner/repo 就能拿到五个维度的分数表和雷达图，评分最高的会自动高亮，省去逐个翻仓库判优劣。
关注供应链安全的团队
推荐深度扫描从 OSV 取已知漏洞、从 deps.dev 取真实依赖关系，能看出一个项目到底被哪些已发布包依赖，而不只是看表面热度。
开源维护者
有条件可以把实时分数徽章贴进 README，让使用者在安装前直接看到健康度；但评分完全基于公开 GitHub 数据，私有仓库和自建托管拿不到结果。
把代理接进流水线的工程团队
推荐通过 npm 安装 trustoss-cli 后可在终端跑 analyze、deep-scan、star-audit，并装上 skill 让 AI 编码代理自动审查依赖，适合在想固化检查步骤的团队。
非 GitHub 托管的项目
不推荐评分、星标审计、深度扫描依赖 GitHub 公开数据，托管在 GitLab、Bitbucket 或自建平台上的仓库无法使用。
TrustOSS优点和缺点
优点
- 免费网页工具，任意公开 GitHub 仓库输入 owner/repo 即可出分
- 星标审计按账号年龄、关注者、仓库数给最近加星者画像并分级
- 深度扫描接入 OSV 漏洞库与 deps.dev 真实依赖数据
- 一次可并排对比 2–4 个候选库并高亮最强项
- 提供可嵌入 README 的 SVG 实时分数徽章
缺点
- 只覆盖 GitHub 公开仓库，非 GitHub 托管项目无法分析
- 官网未公开评分模型的具体算法细节
- 免费使用，但官网未说明是否存在调用次数等使用上限
TrustOSS常见问题
TrustOSS 是什么，要钱吗？＋
官网把它定义为免费的网页工具，用来分析开源 GitHub 仓库的健康度。给任意公开仓库打 0–100 分，审计星标是否真实，扫描已知漏洞，并支持最多四个候选库并排对比，让你在安装依赖前先做判断。
健康分是怎么算出来的？＋
总分由五个加权维度合成，全部来自公开 GitHub 数据：activity 占 25%，看最后一次推送、90 天提交频率与发布节奏；maintenance 占 25%，看问题关闭时间中位数、未关问题压力与是否归档；community 占 20%，看星标、fork 与贡献者；documentation 占 15%，看 README、许可证与贡献指南；maturity 占 15%，看项目年龄与发布历史。
虚假星标审计是怎么判断的？＋
它画出仓库的星标增长曲线，并按账号年龄、关注者数量和仓库数量给最近的加星者画像，分为 veteran、active developer、casual、newcomer、empty profile 五类。曲线突然垂直拉升又叠加一批只做过一次动作的空账号，正是学术研究里用来判定购买星标的特征。
深度扫描具体检查哪些东西？＋
它会越过表面指标去看真实能力：代码实质（测试、CI 配置、是否只有文档），并给出 OK/WARN/RISK 三档结论及依据。数据来源包括 OSV 的已知漏洞、deps.dev 的真实依赖包、由提交集中度算出的 bus factor、CI 通过率与 PR 合并率。
星标多不就够了吗？＋
不够。研究者发现 GitHub 上约有六百万个疑似虚假星标，多数在为短命的恶意仓库造势；从 event-stream 到 xz-utils 的供应链攻击，也都藏在看似健康的流行度指标背后。星标数衡量的是掌声，说明不了维护状态、贡献者集中度，也说明不了观众是不是真人。
怎么在终端里用？＋
执行 npm i -g trustoss-cli 安装后，analyze、deep-scan、star-audit 三条能力都能在终端调用。这个包还会一并安装一个 skill，让 AI 编码代理自动为依赖做审查。
报告可以分享出去吗？＋
可以。每份报告都对应一个可分享的 /repo/owner/name 链接，你可以把候选库并排对比后把结论发出去，也可以把实时分数徽章加到自己的 README 里。
TrustOSS竞品对比
| 工具 | 编辑评分 | 价格 | 核心功能 | 平台 |
|---|---|---|---|---|
| TrustOSS本工具 | 4.1 | TrustOSS 是一个免费的网页工具 | 健康度评分；虚假星标审计；深度扫描；排对比 | Web / CLI |
| GrowsKey | — | 免费分析，无需注册；官网未公开具体档位价格 | 基于 GitHub 仓库分析的开源增长与运营工具 | Web |
| Git Pitcher | — | 未标价 | 将 GitHub 仓库逆向工程为可执行的构建计划和 AI 智能体提示词 | Web |
| Gitmore | — | 免费开始，无需信用卡；具体档位官网未公开 | 基于 AI 的 Git 报告自动化工具，用于获取 GitHub 和 Bitbucket 的见解 | Web / Slack / Email |
| Text to Action | — | 未标价 | 一句话创建 GitHub Action 工作流 | — |
| Zist | — | 未标价 | 一个与 GitHub Gists 集成的代码片段管理器，旨在简化工作流程 | — |
