什么值得做
产品档案 / 2026-10

LegacyFixer

活着但平 证据强度 弱 订阅 PH 发布 2026-10-14 · 61 票
官网
legacyfixer.ai(2026-11-02 抓取,在线)
PH
www.producthunt.com/products/legacyfixer/launches/legacyfixe…,2026-10-14,61 票(发布日 60)/ 日榜第 48 名 / 1 条评论库
一句话
给 Python 仓库做依赖安全扫描的 GitHub App,默认只记录不动作,可选开修复 PR。
团队
单人项目。创始人 Domnita Tudor(罗马尼亚,Devpost 自述「心理学、社会学与美术背景,在做 AI agent 和开发者工具」),GitHub 账号 Dom-33,37 个公开仓库,全部 0 star(未进 GitHub 库的 ≥50 star 名单)。此前作品:ChangelogGenie、ClearField、Miaunolog、continuity-atlas 等 Devpost 项目官网 / Devpost。
收费
官网 2026-11-02 定价页原文「LegacyFixer Pro — $29 / month,Includes up to 10 connected repositories」,另有 7 天免费试用、最多 3 个仓库、不需信用卡官网。PH 档案与 TrustMRR 均无自填定价,无旧档可比。
状态判断
活着但平。站点与内容在 10-29 仍在更新,但除创始人自建的测试仓库外,找不到任何第三方用户、收入或讨论证据。
证据强度
弱。PH 库对上(1 次发布、23 关注、0 评论);indie / appstore / googleplay / macappstore / github / hackernews / chromestore / x 八个库全部没有它。

发布之后的表现

收入:indie(TrustMRR)库里没有(按 domain=legacyfixer.ai、名字词边界查)。也就是说创始人没有把 Stripe / Polar 等只读 key 接进 TrustMRR,没有任何第三方核验过的流水、MRR、订阅数或挂牌出售记录。库里没有。

用户 / 下载:appstore、googleplay、macappstore、chromestore 四个库都没有它——产品形态是 GitHub App,本来也不该出现在商店里,所以这四个「没有」不构成负面证据,只是无信息。PH 侧:发布 19 天后关注数仍为 23,评论 0 条,reviews_count=0库。

开发者关注:github 库里没有它的仓库(按 homepage_domain=legacyfixer.ai 和仓库名查)。去 GitHub 现查:创始人账号 Dom-33 下有一批 legacyfixer-* 仓库(legacyfixer-site、legacyfixer-e2e-validation、legacyfixer-realistic-python-demo、legacyfixer-dependency-hell-test 等),全部 0 star、0 fork;legacyfixer-e2e-validation 只有 2 个 commit、1 个 open PR。legacyfixer-site 最后更新 2026-10-29GitHub 页面。没有 fork/star 异常可追——因为根本没有 star。

讨论:hackernews 库里没有(按域名和标题查);x 本地库(560 人 core 层原创帖)里也没有任何提及。产品没有做过 Show HN,也没有被任何圈内人转发。PH 上唯一 1 条评论,发布当天日榜第 48 名——当天共 1067 个发布、47 个 featured,其中 43 个 featured 的分数高于它的 61 分库,即它排在 featured 的尾部。

官网动态:站点在线,导航含 How it works / Public demo / Guides / Pricing / Security / About。Guides 栏目有 4 篇技术长文,最新一篇《Three urllib3 Vulnerabilities in One Python Security Scan》标注 2026-10-29,内容详实(引 CVE、OSV、PySHA 编号),说明作者仍在投入内容。没有 changelog 页(/changelog 返回首页),没有博客、融资或收购消息。应用入口 app.legacyfixer.ai 需 GitHub 登录,未登录看不到任何数据。

自报 vs 实际

  • 自报:官网 demo 页展示「Run #88,2026-06-10,23 个漏洞,1 个受影响包,0 个 PR」;Guides 里展示「Run #231,2026-10-29,urllib3 2.7.0 三个 CVE,12 秒完成」。这些扫描全部跑在创始人自己的私有测试仓库(Dom-33/legacyfixer-urllib3-cve-test 等)上,不是客户数据。官网没有宣称任何用户数或收入,所以没有「自报数字对不上」的问题——但也意味着没有任何可核验的外部需求信号。
  • PH 票数 61 与库里 score=61、launch_day_score=60 一致,无异常。

为什么成了 / 没成

没成的迹象很清楚,而且原因不在执行质量上。产品本身做得相当克制、专业:默认被动扫描、PR 需按仓库显式开启、不自动合并、有安全模型页和 4 篇带 CVE 编号的技术长文——这是独立开发者里少见的严谨。问题在于赛道:GitHub 自带的 Dependabot 对公开仓库免费,且已经覆盖 Python 依赖告警与修复 PR;Snyk、Safety CLI、PySentry 等也在同一位置。LegacyFixer 的差异化是「少 PR 噪音、默认被动」,但这一点对大多数维护者来说不足以支撑 $29/月——尤其当免费替代品已经默认存在时。发布 19 天、61 票、1 条评论、23 个关注、零 HN / 零 X 提及、零 TrustMRR 收入,这组数字指向的是「发布即结束」的典型曲线,只是站点还在维护。判断为「活着但平」而非「已经停了」,依据是 10-29 还有新内容和站点提交。

对想跟的人

别跟这个位置。它的定价是 $29/月、上限 10 个仓库,而 GitHub Dependabot 对公开仓库免费且已内置——你要说服一个维护者每月付 29 美元买「更少的 PR 噪音」,而 PH 上 61 票、1 条评论、23 个关注说明连这个说服动作都没发生。如果真要做依赖安全,位置不在「扫描 + 开 PR」这一层(已被平台方吃掉),而在平台方不做的部分:私有仓库的合规留痕、审计报告导出、跨语言 monorepo 的依赖冲突裁决——这些是 Dependabot 明确不碰的。最大的坑是:你花三个月把扫描器做对,发现用户的第一反应是「Dependabot 不是免费吗」。

没查到的

  • indie(TrustMRR)没有它,所以收入、MRR、订阅数、是否挂牌出售全部答不了。
  • appstore / googleplay / macappstore / chromestore 四个库没有它(产品形态决定,非负面)。
  • github 库没有它(所有相关仓库 <50 star,不在采集门槛内);star 走势、fork/star 比、suspect 标记都无从谈起。
  • hackernews 库、x 本地库没有它,无法判断开发者社区的真实反应。
  • 官网没有 changelog、没有博客、没有融资/收购信息;创始人 LinkedIn 与 X 账号未在公开页面找到可核验的活跃动态(Devpost 页只给 GitHub 与 LinkedIn 链接,LinkedIn 内容未抓取)。
  • 无法确认除创始人自建测试仓库外,是否有任何真实用户安装过这个 GitHub App。

档案由 agent 建(deepseek/deepseek-v4.1-flash,41 步,2026-11-02T00:20);〔库〕= 我们自己的库,〔官网〕= 当天抓的网页。