# blitzstrike 中文文档

规范地址：https://npmcn.com/package/blitzstrike/

版本：2\.4\.191
npm 元数据更新时间：2026-11-03T03:12:12.015Z
中文译文更新时间：2026-11-03T06:49:13.874Z
软件包许可：MIT

本文由上游 README 机器翻译，可能存在偏差，请结合原文核对 API、命令与配置。版权与许可归原作者所有。

原始 npm 页面：https://www.npmjs.com/package/blitzstrike
原文对照：https://npmcn.com/package/blitzstrike/?lang=original
项目主页：https://github.com/shinthink/blitzstrike
源码仓库：https://github.com/shinthink/blitzstrike

## 关键信息（来自 npm 元数据）

- 包体积（解压后）：6 MB，586 个文件
- 模块格式：ES Module
- TypeScript 类型：未声明
- 运行依赖：6 个
- peer 依赖：playwright-core \>=1\.61\.0
- 首次发布：2026-09-12T13:53:55.304Z
- 最新版本发布：2026-11-03T03:12:11.909Z
- 已发布版本数：300（近 12 个月 300 个）

## 中文简介

闪电战-通用的MCP安全审计工具带。闪电战扫描攻击面，鹰眼追踪源到源，打击实时验证。57个攻击链，130个工具目录，情报数据层。一个服务器，每个代理。

## 安装

```sh
npm install blitzstrike
```

也可以使用：`pnpm add blitzstrike`、`yarn add blitzstrike`、`bun add blitzstrike`

## README

[![Blitz Strike](https://npmcn.com/package/blitzstrike/.github/assets/banner.webp)](https://github.com/shinthink/blitzstrike)

[![GitHub Release](https://img.shields.io/github/v/release/shinthink/blitzstrike?color=369eff&labelColor=black&logo=github&style=flat-square)](https://github.com/shinthink/blitzstrike/releases) [![GitHub Stars](https://img.shields.io/github/stars/shinthink/blitzstrike?color=ffcb47&labelColor=black&style=flat-square)](https://github.com/shinthink/blitzstrike/stargazers) [![License](https://img.shields.io/badge/license-MIT-97CA00?labelColor=black&style=flat-square)](https://npmcn.com/package/blitzstrike/LICENSE) [![TypeScript](https://img.shields.io/badge/TypeScript-strict-3178C6?labelColor=black&logo=typescript&logoColor=white&style=flat-square)](https://www.typescriptlang.org/) [![Bun](https://img.shields.io/badge/Bun-1.4+-000000?labelColor=black&logo=bun&logoColor=white&style=flat-square)](https://bun.sh/) [![MCP](https://img.shields.io/badge/MCP-SDK-6366f1?labelColor=black&style=flat-square)](https://modelcontextprotocol.io/)

# 闪电战罢工

**快速侦察。深入分析。报告前验证。**

闪电战是一种结构化的渗透测试方法-侦察， 源代码分析和验证-作为通用的MCP服务器交付。它 列举攻击面（BLITZ），跟踪源到接收器的可达性 （EAGLE-EYE），并在报告（STRIKE）之前验证每个发现。 一个服务器，每个代理：范围实施到在一个 单 `run_engagement` 调用，并附上相关的利用工具手册 每一个结果。

> 扫描命中是一个 **假设**． 现场测试是 **判决**.
> 
> 闪电战的存在是为了消除两种最常见的失败模式 自动安全评估：来自表层模式的误报 没有现场证实的匹配和未经证实的发现。

* * *

## 它是做什么的

Blitz Strike是一个模型上下文协议（MCP）服务器（TypeScript / Bun） 将一个三层安全审计方法打包为可调用的工具，并运行 整个订婚 **服务器端**所以是单一的 `run_engagement` 呼叫从 Claude Code, Cursor, Hermes, OpenCode, Claude Desktop， Gemini或任何MCP客户端。

### 三层

闪电战描绘了一种结构化的渗透测试方法——侦察， 源代码分析和验证——分为三个工具层，在服务器端执行。

| 层 | 名字 | 阶段 | 它是做什么的 |
| --- | --- | --- | --- |
| 1 | **闪电战** | 侦察和攻击面测绘 | 按规模列举暴露的攻击面：未经身份验证的入口点、危险的汇点和身份验证边界。 |
| 2 | **鹰眼注视着** | 静态分析和数据流跟踪 | 跟踪源到接收器的可达性，并根据升级链图丰富发现。确认水槽是 _可获得的_， _未经身份验证的_, _可采_ ——不仅仅是现在。 |
| 3 | **罢工** | 验证和开发 | 执行实时验证（标记反射+负面控制）、范围实施和编排，以便在报告之前确认发现。 |

侦察→分析→验证。罢工前没有任何消息 确认它。

除了三层之外，闪电战也可以运送 **Web3审计** (确定的 坚固性+可执行的铸造证明),a **活动逻辑错误探测器** (兄弟姐妹 枚举+差分IDOR)， **狩猎英特尔** (CWE/CVE监视列表+ DNS 天坑探测)，以及 **带外的证据** -所以IDOR/认证逻辑错误，盲目 注入和智能合约的发现都被发现和证明了，而不仅仅是 模式匹配。

* * *

## 自治,LLM-driven

Blitz Strike是由法学硕士驱动的- Claude， Hermes, OpenCode， Codex或任何 MCP客户机。 **法学硕士是大脑** （计划、路线、代表、裁判）； **闪电战 罢工是决定论的双手+知识+护栏**.

一个完整的约定是一个呼叫，或者一个细粒度的代理编排的周期：

```bash
npx blitzstrike serve --mcp   # connect your agent, then ask it to
                              #   "audit ./src" (source) or "audit https://example.com" (live)
```

LLM自动对目标进行分类（URL→活动管道、文件系统） 路径→源管线)，然后驱动侦察→分析→验证→评审→ 报告-以捆绑原则为指引(`instructions` +技能+每一步 `next_steps`)，并在平台的本地子代理上展开。

→ [自治与原则](https://npmcn.com/package/blitzstrike/docs/AUTONOMY.md) -法学硕士是如何操纵的。

## 为什么是TypeScript / Bun

-   **单静态二进制** 通过 `bun build --compile` -每个平台发布一个可执行文件。
-   **零安装分布** 通过 `bunx blitzstrike` / `npx blitzstrike`.
-   **MCP TypeScript SDK** 一流的(`@modelcontextprotocol/sdk`）。
-   **一个工具链** 用于开发+测试+构建+编译。

* * *

## 快速入门（30秒）

```bash
# Zero-install — works from any MCP client, no clone, no build
npx -y blitzstrike doctor        # verify the environment
npx -y blitzstrike install       # auto-register with every detected agent CLI
```

`npx blitzstrike install` 检测每个已安装的代理CLI (Claude Code， Cursor, OpenCode, Codex, Hermes, Gemini, Windsurf, Copilot, Cline)和写作 正确的MCP配置到每个MCP的原生格式。重新启动代理，然后 呼叫 `run_engagement`.

从资料来源:

```bash
git clone https://github.com/shinthink/blitzstrike.git
cd blitzstrike
bun install
bun run src/index.ts serve --mcp
```

* * *

## 客户端配置（适用于任何MCP客户端）

```json
{
  "mcpServers": {
    "blitzstrike": {
      "command": "blitzstrike",
      "args": ["serve", "--mcp"]
    }
  }
}
```

-   **Claude Code /桌面**： `claude_desktop_config.json` 或者 `.mcp.json`
-   **光标**： `.cursor/mcp.json`
-   **OpenCode**： `.mcp.json`
-   **爱马仕**： `mcp_servers:` 在 `config.yaml`
-   **双子/副驾驶**：本地MCP配置

运行 `blitzstrike install` 打印准确的代码片段。

* * *

## 命令行界面

```bash
blitzstrike serve --mcp       # start MCP server over stdio (default)
blitzstrike doctor            # health check: runtime + 130-tool catalog + creds
blitzstrike install           # write MCP config to detected clients (Claude/Cursor/OpenCode)
blitzstrike install --dry-run # preview the config without writing
blitzstrike sync-data         # fetch heavy datasets (payloads + templates) on-demand
blitzstrike update            # check for a newer version + refresh the data cache
blitzstrike version           # print version
```

### 医生检查什么

| 检查 | 你会看到状态 |
| --- | --- |
| 运行时(包/节点) | OK / FAIL + fix |
| 安全工具目录 | 63/130已安装，67按需安装 |
| FOFA凭证 | OK / WARN + fix |
| 数据层（链+工具-目录） | 现/失踪 |

每期都有一个 `fix:` 行，不要猜。

### install做什么

`blitzstrike install` 检测哪些MCP客户端配置文件已经存在 (克劳德。 `~/.claude.json`、光标 `~/.cursor/mcp.json`、项目 `.mcp.json`), **合并** 闪电战服务器条目-它永远不会覆盖你现有的 MCP服务器。如果没有检测到客户端，它将打印用于手动粘贴的代码片段。

* * *

## 工具

### 闪电战-攻击-水面分诊

| 工具 | 目的 |
| --- | --- |
| `blitz_scan(path, max_files)` | 扫描源代码树：用file:line refs枚举非法入口点+危险sink。 |
| `blitz_file(path)` | 同样的扫描，单一文件。 |

### 鹰眼-深痕迹

| 工具 | 目的 |
| --- | --- |
| `eagle_eye(path, symbol)` | 返回函数的整个函数体、作用域中的sink和作用域中的验证门。 |
| `eagle_grep(path, sink, max_hits)` | 精确接收grep -仅在函数体内报告命中，标记为保护/非保护。 |
| `enrich_scan(path, max_files)` | 扫描+匹配检测到的sink到升级链（chains.json）。 |

### 攻击-验证+侦察+协调

| 工具 | 目的 |
| --- | --- |
| `strike_verify(url, method, data, headers, marker, timeout)` | 使用标记+负控制+基线的实时HTTP验证。 |
| `strike_resolve(finding, verdict)` | 在一个发现上附加一个实时打击判决，并推进它的生命周期。 |
| `scope_check(target, scope, mode)` | 在主动测试之前强制作用域（无dos、排斥感知、模式控制）。 |
| `run_engagement(target, scope, mode, max_files)` | 完整的三层审计在一次调用-范围门→分流→链富集→发现。 |
| `list_chains()` | 列出数据层中的所有升级链。 |
| `fofa_search(query, size, fields)` | FOFA资产索引搜索（需要） `FOFA_EMAIL` + `FOFA_KEY`）。 |
| `nvd_lookup(cve_id)` | 从NVD 2.0进行CVE查找（不需要键）。 |
| `live_recon(url)` | 模块化被动优先侦察：指纹，WAF/技术/版本，爬虫，参数，子域，回溯，API发现，端口扫描。 |

### CATALOG -广度层（工具+技能知识库）

| 工具 | 目的 |
| --- | --- |
| `tool_lookup(name)` | 查找工具的命令+ flags + install + check。 |
| `list_tools()` | 列出所有目录工具，按类别分组。 |
| `skill_lookup(topic)` | 按主题搜索技能/剧本知识库。 |
| `list_skills()` | 列出所有技能手册。 |
| `read_skill(name)` | 阅读剧本的全部内容。 |
| `ensure_tool(name)` | 检查工具是否已安装；如果没有，请自动安装。 |

### 手册-深度工具参考+剧本（连接到流程中）

| 工具 | 目的 |
| --- | --- |
| `read_tool_manual(name)` | 阅读一个工具的完整深度手册（317+手册）。 |
| `list_manuals()` | 列出所有的手册和剧本。 |
| `read_playbook(name)` | 阅读参与剧本（web-app, api-security， AD等）。 |
| `list_playbooks()` | 列出所有17个订婚剧本。 |

### 阶段4 -验证，测量，报告

| 工具 | 目的 |
| --- | --- |
| `cvss_score(AV, AC, PR, UI, S, C, I, A)` | 计算确定性CVSS v3.1基本分数+向量+严重性（自计算，不从NVD读取）。 |
| `dedup_findings(findings)` | 将共享一个根本原因（sink × source × CWE）的发现分解为每个根本原因的一组。 |
| `generate_report(findings, format)` | 发出带有摘要+ SHA-256完整性散列的可重复的降价/JSON报告。 |
| `run_enterprise_benchmark()` | 运行标注的企业语料库，报告检出率、假阳性率和准确率。 |
| `coverage_matrix()` | 枚举语言×库类覆盖率（5种语言）+覆盖率。 |

### 鹰眼-污染+数据流

| 工具 | 目的 |
| --- | --- |
| `taint_file(path)` | 程序间污染分析(PHP) -可访问的，消毒的，授权的水槽。 |
| `taint_scan(code, language)` | 通用污染分析（PHP/JS/TS/Python/Java）与源→汇跟踪。 |
| `taint_tree(path)` | 污染传播树-一个源如何流向一个汇。 |
| `trace_data_flow(path)` | 基于窗口的数据流跟踪，带有杀毒器+认证门感知。 |
| `variant_analysis(path)` | 组可达下沉到不同的家庭。 |
| `list_languages()` | 列出支持的分析语言+扩展。 |

### 智能-数据层（WAF +相关性+模糊器）

| 工具 | 目的 |
| --- | --- |
| `detect_waf(headers, body)` | 从响应头/响应体（139个签名）中检测WAF。 |
| `tech_correlation(tech)` | 将技术关联到已知的vulns + cve（89项技术）。 |
| `cve_correlation(cve)` | 将CVE与产品+目标+严重性（53个CVE）相关联。 |
| `port_correlation(port)` | 将端口关联到服务+攻击向量（103个端口）。 |
| `fuzzer_payloads(category)` | 模糊有效载荷+脆弱模式+链式规则。 |
| `intel_summary()` | 每个智能数据集的计数。 |
| `payload_lookup(topic)` | 查找利用有效负载（来自PayloadsAllTheThings的66个类别）。 |
| `read_payload(category)` | 读取完整的有效负载集合。 |
| `template_lookup(topic)` | 查找核检测模板（11.9k YAML签名）。 |
| `list_attack_vectors()` | 列出完整的web攻击向量分类法（34类，588个向量）。 |
| `attack_vectors(category)` | 枚举一个类别的向量列表（例如ssrf、业务逻辑、ai/llm）。 |
| `check_update()` | 在npm注册表中查询最新的闪电战版本。 |

智能层（WAF签名，技术/CVE/端口关联，模糊器） 数据，vuln本体，开发有效载荷，核检测模板)的来源 来自airecon (MIT), PayloadsAllTheThings （MIT）和nuclei-templates （MIT） 在运行时加载并连接到上面的工具表面。的攻击载体 分类(`intelligence/attack_vectors.json`)是第一方。

317索引工具手册+ 17剧本从kali-pentest (Apache-2.0) - 334 手动文件，130个工具目录的100%文档化。这些都不是 装饰——它们被连接到流程中；

-   `tool_lookup(name)` 自动附加工具的完整手册。
-   `run_engagement()` 附上每条匹配链条的相关手册 `tools` 字段。

### WEB3 -智能合约审计+证明

| 工具 | 目的 |
| --- | --- |
| `web3_audit(code, path)` | 确定性稳定性审计- 13个bug类（重入性包括ERC721/ERC1155回调，未检查返回/算术，txt .origin认证，签名重放，自毁，委托调用，缺失访问控制，时间戳依赖，现货价格oracle，无界循环，encodePacked碰撞，缺失地址(0)检查），CWE +严重性+行参考。 |
| `foundry_poc(class, contract)` | 生成一个可执行的Foundry测试来证明Web3的发现。 |
| `foundry_run(contract_code, poc_code, class_)` | 实际运行铸造PoC (`forge test`) -通过测试=复制漏洞（确定性：forge自己的判断）。 |

### 狩猎-学说+活逻辑错误探测器+情报

| 工具 | 目的 |
| --- | --- |
| `hunting_doctrine()` | 高投资回报率启发式——兄弟规则、A→B信号、双账户IDOR、PoC升级、追踪资金+总是被拒绝的暗杀名单。 |
| `kill_list(type)` | 确定性总是拒绝检查缺失报头、self-XSS、open-redirect-alone、SSRF-DNS-only、GraphQL-introspection-alone都是独立的。 |
| `sibling_scan(base_url, endpoint, token_a, token_b)` | 确定性LIVE逻辑错误探测器-兄弟枚举+差分IDOR +认证矩阵+质量分配+速率限制（关闭了IDOR/认证逻辑错误的静态分析差距）。 |
| `auto_poc(type, base_url, endpoint, param)` | 将发现转化为可复制粘贴的复制配方（标记+阴性对照+预期差异+ patchstack风格的标题）。 |
| `watchlist()` | 排名CWE频率+高价值CVE观察名单+饱和旗-“下一步追捕什么”。 |
| `resolve_check(host)` | 在审计敏感利基域之前，检测ISP/国家/地区的DNS天坑（阻止页面）。 |
| `oob_start()` / `oob_poll(id)` / `oob_stop(id)` | 带外证明-用于盲SSRF/XXE/SQLi/命令注入的交互式侦听器（金丝雀必须实际到达）。 |

### 记忆——长期的知识（自我成长）

| 工具 | 目的 |
| --- | --- |
| `remember(topic, content, type, tags, verified)` | 保存可重用的洞察（删除）。验证=仅当标记反映+阴性控制惰性时为真。 |
| `memory_lookup(query)` | 按主题/标签/内容搜索记忆，评分。 |
| `memory_list()` | 列出所有内存条目，按类型分组。 |
| `memory_forget(id)` | 删除一个内存条目（仅追加的墓碑）。 |
| `confidence_weights(...)` | 获取或设置自信得分权重因子。 |
| `finding_attach_evidence(finding, type, description, content)` | 在发现后附上经过编辑和散列的证据记录。 |

内存是仅追加的json格式 `~/.blitzstrike/memory.jsonl` (覆盖 `BLITZSTRIKE_HOME`）。 `run_engagement` 自动捕获匹配的升级链 作为 `pattern` 条目（由链id删除），因此知识库随之增长 每个约定-没有重复的垃圾邮件，只有 `verified=true` 条目 权威。

* * *

## 工具目录（Tools - Catalog .json）

130个自己编写的安全工具（不是从任何项目复制的），每个工具都有命令 基础，关键标志，每个平台安装命令，check\_installed探针，阶段， 标签、替代品、requires\_root、管道和主页。

| 类别 | 数 | 示例 |
| --- | --- | --- |
| 侦察 | 23 | Subfinder, masass, httpx, naabu, katana, trufflehog |
| 剥削 | 13 | Sqlmap, commix, dalfox, hydra, hashcat， PHPGGC |
| 蓝色(防守) | 13 | Suricata, zeek, osquery, wazuh, sigma, yara, trivy |
| 逆向工程 | 12 | gidra, radare2, gdb, pwndbg, angr, binwalk |
| 枚举 | 11 | 原子核，ffuf, gobuster, arjun, wafw00f |
| 取证 | 10 | 波动性，解剖，鲨鱼，最重要的是，steghide |
| 活动目录 | 8 | Netexec, impacket, bloodhound, certificate, kerbrute |
| 移动 | 7 | Frida, object, mobsf, apktool, jadx |
| post-exploitation | 6 | Linpeas, pspy, chisel, ligolo- long, pwncat |
| 红组 | 6 | 银，浩劫，阴谋，邪恶，鬼鱼 |
| 实用程序 | 6 | Curl, jq, new, notify |
| 网络 | 4 | Wpscan, joomscan, droopescan, cmseek |
| 无线 | 4 | 噼啪声，老婆，最好戴上帽子 |
| 云 | 4 | 帕库，潜行者，侦察兵，云狐 |
| 加密 | 3 | Hashid，密码，rsactftool |

## 技能知识库（Skills /）

32技能剧本（降价）-通用，许可安全隐藏宝石从 互联网(麻省理工学院)。我们的个人攻击树剧本被删除了 私有的方法，而不是通用的利用脚本)。

-   **对抗性剧本（14）** - - - - - - `ap-*` 前缀。罕见的进攻战术： Cross-forest-trust-abuse、gitea-ci-injection、kerberos-trust-abuse、 multi-domain-ad-attacks client-side-crypto-forgery。
-   **黑客。证明（18，麻省理工学院）** - - - - - - `hp-*` 前缀。端到端审计剧本： 全安全审计、智能合约审计、api安全测试、sast代码审查、 container-image-scan iac-cloud-posture。

看到 `ATTRIBUTION.md` 获取完整的许可/版权声明。

* * *

## 升级链（Chains .json）

58个数据驱动的升级链，每个都有有序的步骤：

-   `tool_hint` -使用哪个闪电战打击工具
-   `success_criteria` -二进制可观察的步骤
-   `invariant_check` ——剥削必须成立的假设
-   `negative_control` -如何反驳这一发现

示例： `ssrf_cloud_metadata`， `lfi_log_poison_rce`， `appkey_leak_deserialization_rce`， `hmac_empty_key_forgery`， `intval_form_id_bypass`， `extract_variable_injection_lfi`， `split_controller_upload_bypass`， `race_condition_double_spend`， `ssti_template_injection_rce`， `jwt_alg_confusion_forgery`， `cache_poisoning_xss`， `subdomain_takeover`等等。

编辑 `chains.json` 要添加知识-永远不要在源代码中硬编码。

* * *

## 环境变量

| 变量 | 要求 | 目的 |
| --- | --- | --- |
| `FOFA_EMAIL` | 为 `fofa_search` | FOFA账户邮箱 |
| `FOFA_KEY` | 为 `fofa_search` | FOFA API密钥 |
| `H1_USERNAME` | 可选 | 你的HackerOne用户名。设置后，每个出站安全测试请求都携带 `X-HackerOne-Research: <username>` 所以目标/三角可以识别你（责任披露公约）。 |
| `BLITZSTRIKE_HOME` | 可选 | 覆盖主目录（默认） `~/.blitzstrike`）。 |
| `BLITZSTRIKE_DATA` | 可选 | 覆盖数据缓存目录（默认） `~/.blitzstrike/data`）。 |

所有其他工具都不需要凭据。

* * *

## 构建

```bash
bun install          # deps
bun run typecheck    # tsc --noEmit
bun run build        # ESM bundle → dist/index.js
bun run test         # regression + benchmark suite (453 checks)
bun run compile      # single static binary → dist/blitzstrike
```

* * *

## 质量（测量，未要求）

闪电战有一个基准套件和覆盖矩阵，所以质量是 号码你可以重新运行，不是索赔。

-   **基准** （`run_enterprise_benchmark`) -标记的易受伤害的+ 跨PHP、JavaScript、Python和Java的安全装置。目前的结果: 检出率 **1.0**，假阳性率 **0**、精密 **1.0**.
-   **覆盖矩阵** （`coverage_matrix`) - 5种语言× sink类= 84% 覆盖范围（php, javascript, python, java, rust）。未覆盖的对是 语言中合法缺失(例如Java没有 `eval`， Python/Java no php风格的文件包含，JS没有反序列化接收器)。
-   **攻击载体分类** （`list_attack_vectors` / `attack_vectors`) - a 高手参考34个攻击向量类别（588个向量）所以一个驱动 代理可以映射 _整个_ 攻击面，而不仅仅是明显的下沉。
-   **回归套件** - - - - - - `bun run test` 运行453次检查，覆盖查找结果 生命周期，证据完整性，CVSS数学，污染跟踪，删除，报告 完整性和基准不变量。CI在每次推送时都运行它。

* * *

## 方法指出

-   **下沉≠下沉。** 一个危险的函数 _文件_ 作为未授权处理程序并不意味着处理程序调用它。使用 `eagle_eye` 确认范围。
-   **文件写入≠RCE （CF-003）。** 可写文件必须是 _由运行时加载_ 执行。
-   **只有默认的服务器配置。** 默认的Apache `FilesMatch .+\.ph(ar|p|tml)$` 有一个 `$` 锚, `.php.jpg` 不执行。
-   **每一个发现都是一个假设** 直到 `strike_verify` 反映你的标记和链的 `negative_control` 保持惰性。

* * *

## 免责声明

此工具仅供教育和授权安全研究使用。 未经所有者明确许可，请勿对系统使用。

* * *

## 进一步的阅读

-   [安装](https://npmcn.com/package/blitzstrike/docs/installation.md) -先决条件，安装，客户端注册。
-   [使用](https://npmcn.com/package/blitzstrike/docs/usage.md) -一次呼叫参与，颗粒路径，模式，记忆。
-   [自治与原则](https://npmcn.com/package/blitzstrike/docs/AUTONOMY.md) -法学硕士驱动的自治，资源地图，护栏。
-   [宣言](https://npmcn.com/package/blitzstrike/docs/manifesto.md) -驱动方法论的不变量。
-   [贡献](https://npmcn.com/package/blitzstrike/CONTRIBUTING.md) -如何添加链、工具和数据。
-   [更新日志](https://npmcn.com/package/blitzstrike/CHANGELOG.md) -版本历史记录。
-   [路线图](https://npmcn.com/package/blitzstrike/ROADMAP.md) -这是怎么回事。
-   [安全](https://npmcn.com/package/blitzstrike/SECURITY.md) -负责披露+授权使用。
-   [第三方通知](https://npmcn.com/package/blitzstrike/THIRD-PARTY-NOTICES.md) -提供的数据许可证。

## 常见问题

### blitzstrike 是什么？

闪电战-通用的MCP安全审计工具带。闪电战扫描攻击面，鹰眼追踪源到源，打击实时验证。57个攻击链，130个工具目录，情报数据层。一个服务器，每个代理。

### 如何安装 blitzstrike？

在项目目录运行 npm install blitzstrike，或使用 pnpm add / yarn add / bun add。它还提供命令行工具 blitzstrike，可以用 npx blitzstrike 直接运行。

### blitzstrike 支持 TypeScript 吗？

该包的 package\.json 没有声明类型入口。需要类型提示时，可以在 npm 上查找社区维护的 @types/blitzstrike 是否存在。

### blitzstrike 支持 ESM 还是 CommonJS？

以 ES Module 形式发布，推荐使用 import 引入。在 CommonJS 项目中，Node\.js 20\.19\+ / 22\.12\+ 可以直接 require\(\) 不含顶层 await 的 ES Module，更早的版本需要改用动态 import\(\)。

### blitzstrike 可以商用吗？

blitzstrike 使用 MIT 许可。宽松许可：允许商业使用、修改和再分发，通常只需在分发时保留原版权与许可声明。以上为概括，不构成法律意见，请以许可原文为准。

### blitzstrike 还在维护吗？

最新版本 2\.4\.191 发布于 2026/11/03（今天）；至今共发布 300 个版本，其中过去 12 个月发布了 300 个；首次发布于 2026/09/12。发布频率只是参考信号：功能稳定的工具可能很少需要更新，建议结合源码仓库的 issue 和提交记录判断。