Refuse
- 官网
- refuse.dev(在线,2026-11-02 抓取正常)
- PH
- www.producthunt.com/products/refuse/launches/refuse,2026-06-18(PT),84 票(发布日 77)/ 日榜第 26、周榜 152、月榜 504 / 3 条评论库
- 一句话
- 一个装在包管理器前面的开源 shim,在 npm/pip/cargo 等 18 个包管理器真正安装前,用实时漏洞库拦掉已知有 CVE 的版本——不管命令是你敲的、AI agent 敲的还是 CI 敲的。
- 团队
- 创始人 gokul(gok03,GitHub 145 个仓库,签名「building for agents」,印度 Chennai;LinkedIn 显示 Gokulavasan Murali / LaunchAI.work)官网 GitHub 页。组织 RefuseHQ。看起来是 1 人主导的小项目,无融资信息。
- 收费
- (官网 2026-11-02 定价页原文):「Self-host free. Or use the hosted tier.」——OSS/自托管 $0 forever;Hosted Free $0(100,000 scans / 30 天);Hosted Pro $5/月,Coming soon(5,000,000 scans,升级按钮被 gate 住)。PH 档案未填定价,无旧档可比。
- 状态判断
- 活着但平——官网/OSS 仍在线可用,但发布后 4 个多月无代码提交、无收入、无社区讨论,增长信号为零。
- 证据强度
- 中。PH 库对上了(发布记录、票数、关注数);indie / appstore / googleplay / macappstore / chromestore / hackernews / x 七个库全部没有它;GitHub 库因星数低于 50 门槛未收录,靠官网 GitHub 页补。
发布之后的表现
收入:indie(TrustMRR)库里没有库。官网也没有任何 MRR / 用户数自报。付费档 Pro 至今「coming soon」且按钮被 gate,说明尚未产生订阅收入官网。
用户 / 下载:appstore、googleplay、macappstore、chromestore 四个商店库全部没有它库——它是 CLI + 自托管服务,本就不该在这些库里,属预期。
开发者关注:GitHub 库没有收录(全站门槛 ≥50 星,该库未达标)库。直接查 GitHub 页:服务端 RefuseHQ/refuse 11 star / 5 fork(fork/star 45%),48 commits、9 branches、5 tags、7 个 open PR,最后提交 2026-06-11;CLI RefuseHQ/refuse-cli 2 star / 1 fork,65 commits,最后提交 2026-06-18(发布当天)GitHub 页。异常追查:fork/star 45% 远超 15% 阈值,但这是 11 星的小样本噪声——仓库有真实 TypeScript/Go 代码、多分支多 tag、dependabot PR,不是「只有 README」的刷量库,判断为不构成刷星嫌疑推断。真正的问题是:两个仓库自 6 月中旬起再无提交,已停更约 4.5 个月。
讨论:hackernews 库里没有 refuse.dev 的任何故事库;x 本地库里 refuse.dev 提及数为 0,「refuse」的命中全是无关政治/财经帖库。第三方报道仅两篇:byteiota(2026-07-20)、bex.co(2026-09-13),均为介绍性博客,非社区讨论官网外链。
官网动态:站点在线,状态页显示「All systems operational」、362,008 条 advisory,但状态页时间戳停在 6/11/2026,与「updated just now」自相矛盾,像是静态缓存官网。博客只有 1 篇(2026-04-30,前沿模型 × 漏洞包研究)官网。Wayback 最早快照 2026-06-18(发布日)Wayback。无 changelog 更新、无融资/收购消息。
自报 vs 实际
| 自报 | 来源 | 对照 |
|---|---|---|
| 「362,000+ advisories / 21 ecosystems」 | 官网首页、状态页 | 无法第三方核验;状态页自报 362,008 条,量级与 OSV 公开库一致,可信度中推断 |
| 「Free up to 100k scans / 30 days」 | 官网定价页 | 无独立来源;付费档未上线,无收入可对 |
| PH 84 票 / 日榜 26 | PH 库 | 与库一致,无夸大 |
没有发现自报数字与库/第三方冲突的情况——因为它几乎没自报任何用户数或收入。
为什么成了 / 没成
方向选得对:2026 年 AI agent 无人值守跑 npm install 是真实且被反复报道的威胁面(byteiota 引 Endor Labs「49% 的 agent 引入依赖带已知 CVE」),「安装前拦截」比 npm audit 的「装完再报」在时序上更合理,而且它把 18 个包管理器一次包圆、Apache-2.0 可自托管,产品定义是干净的。
但它没成规模。三个硬信号:①PH 拿到 84 票、日榜 26,却换来 GitHub 服务端仅 11 星、CLI 仅 2 星——PH 热度没有转化成开发者采用;②HN 与 X 全库零提及,说明它没进入开发者社区的口碑循环;③两个仓库自 6 月中旬停更,状态页冻结,Pro 档一直「coming soon」。最可能的解释是:这是一个单人在发布窗口内做出来的作品,发布后没有持续投入,也没有找到分发渠道(它既不是 SaaS 有自然流量,也不是能靠 star 滚起来的爆款开源)。安全工具尤其难:用户要的是「默认不可绕过」的确定性,而它自己文档都承认 PATH shim 可被 python -m pip、绝对路径绕过,真正的强制层 check-lockfile 需要用户主动接进 CI——转化门槛高。
对想跟的人
这个方向有位置,但位置不在「再做一个 shim」。Refuse 用 11 个 GitHub star 证明了「装前拦截」这个抽象本身不稀缺——它 6 月发布、9 月就有 bex.co 这类平台博客讨论「该不该把 lockfile gate 设成 PaaS 默认步骤」,说明需求正在从个人工具上移到平台/CI 层。要跟就跟「不可绕过的强制点」:把 check-lockfile 做成 CI/构建流水线的默认步骤,而不是又一个可被 --no-refuse 跳过的 PATH 包装。最大的坑是分发:Refuse 的 84 票 PH 热度只换来 11 星,说明安全工具靠发布日冲榜没用,得绑住一个已有的高频入口(CI 平台、包管理器本身、或 agent 框架的 hook——它只做了 Claude Code 一个 hook,Cursor/Codex 都还没接)。
没查到的
- indie(TrustMRR):库里没有,无法确认任何收入/MRR/订阅数/是否挂牌出售。
- appstore / googleplay / macappstore / chromestore:四个商店库均无(产品形态本就不在商店)。
- hackernews:无任何相关故事,无法看社区反应。
- x 本地库:
refuse.dev零提及;创始人 gok03 未绑定 X(库内 x_followers 为空),无法看其公开发言。 - GitHub 库:因未达 50 星门槛未收录,star 走势 / gain_7d / suspect 标记均无;只能靠 GitHub 页面单点数据。
- 无法确认:创始人是否已放弃该项目、hosted 服务是否仍在真实运营(状态页时间戳可疑)、是否有未公开的融资或收购。
档案由 agent 建(deepseek/deepseek-v4.1-flash,26 步,2026-11-01T19:37);〔库〕= 我们自己的库,〔官网〕= 当天抓的网页。