PruneoAbhängigkeiten: unsichere oder veraltete Pakete in deinen Projekten
Der Bereich Abhängigkeiten prüft alle deine Projekte auf einmal: Er liest ihre Lockfiles, ohne sie anzufassen, und gleicht sie mit OSV.dev, dem CISA-Katalog ausgenutzter Sicherheitslücken und endoflife.date ab. Er sagt dir, welche Pakete Sicherheitslücken haben, welche schädlich, veraltet oder sehr alt sind und welche Runtimes keinen Support mehr bekommen, samt Befehl zum Aktualisieren.
Wenn du programmierst, ist dein Mac voller Projekte mit jeweils Hunderten von Abhängigkeiten. Manche haben bekannte Sicherheitslücken, andere wurden vor Jahren aufgegeben, und die Runtime irgendeines alten Projekts bekommt keine Patches mehr. Niemand prüft die einzeln. Pruneo prüft sie alle auf einmal.
Was es prüft
Für jedes Projekt liest Pruneo das Lockfile und meldet:
- Bekannte Sicherheitslücken, aus OSV.dev, der offenen Datenbank von Google, die Hinweise von GitHub, PyPI, RustSec, Go und anderen zusammenführt.
- Ausgenutzte Sicherheitslücken, aus dem KEV-Katalog der CISA: die, die schon bei echten Angriffen genutzt werden.
- Schädliche Pakete, veröffentlicht, um Daten oder Zugangsdaten zu stehlen.
- Veraltete oder zurückgezogene Pakete, die ihre Autoren aus dem Verkehr gezogen haben.
- Sehr alte Pakete, mehrere Versionen hinter der aktuellen.
- Runtimes ohne Support, etwa eine Node- oder Python-Version, die keine Patches mehr bekommt, laut endoflife.date.
Für jedes Problem zeigt es den Befehl zum Aktualisieren. Das Projekt selbst fasst es nie an.
Welche Dateien es liest
| Ökosystem | Dateien |
|---|---|
| JavaScript | package-lock.json, npm-shrinkwrap.json, pnpm-lock.yaml, yarn.lock, bun.lock |
| Rust | Cargo.lock |
| Go | go.mod |
| Python | poetry.lock, uv.lock, Pipfile.lock, requirements.txt |
| Java und Kotlin | pom.xml, gradle.lockfile, build.gradle, build.gradle.kts |
| Ruby | Gemfile.lock |
| PHP | composer.lock |
| Dart und Flutter | pubspec.lock |
| Swift | Package.resolved |
Datenschutz: Der Abgleich passiert lokal
Beim ersten Mal lädt Pruneo die öffentlichen Datenbanken von OSV.dev für die Ökosysteme, die du nutzt, auf deinen Mac und aktualisiert sie höchstens einmal am Tag. Der Abgleich mit deinen Projekten passiert auf deinem Mac.
Die Abfrage der offiziellen Registries (npm, crates.io, PyPI…), mit der sich zeigt, ob ein Paket veraltet oder sehr alt ist, ist optional. Wenn du sie einschaltest, sendet sie nur Name und Version jedes Pakets.
So nutzt du es
- In der App: Profi › Abhängigkeiten. Beim ersten Mal fragt es dich, ob du es einschalten willst. Ausschalten oder das Heruntergeladene löschen kannst du in den Einstellungen.
- Im Terminal:
pruneo deps.
FAQ
Welche Sprachen und Paketmanager werden unterstützt?
npm, pnpm, Yarn und Bun; Cargo (Rust); Go; Poetry, uv, Pipenv und requirements.txt (Python); Maven und Gradle (Java und Kotlin); Bundler (Ruby); Composer (PHP); Pub (Dart und Flutter) und Swift Package Manager.
Schickt es meinen Code an einen Server?
Nein. Pruneo lädt die öffentlichen Datenbanken von OSV.dev auf deinen Mac und gleicht dort ab. Nur wenn du die Registry-Abfragen (npm, crates.io, PyPI…) einschaltest, werden Name und Version jedes Pakets gesendet, nie dein Code.
Aktualisiert Pruneo meine Abhängigkeiten?
Nein. Es fasst deine Projekte nie an: Es zeigt dir das Problem und den Befehl zum Aktualisieren, und du führst ihn aus.
Ist es standardmäßig an?
Nein. Es ist optional: Du schaltest es im Bereich Abhängigkeiten oder in den Einstellungen ein, wo du es auch wieder ausschalten oder das Heruntergeladene löschen kannst.
Kann ich es im Terminal nutzen?
Ja, mit pruneo deps.