←~/progetti/outpaced/README.md

Outpaced

{ “日期”: “2026-05-03”, “状态”: “开发中”, “技术栈模块”: 7 }

面向 JavaScript 和 TypeScript 项目的无摩擦依赖监控

Outpaced 是一个公开的 SaaS 产品，可即时呈现 npm 依赖的状态：粘贴 package.json，几秒之内便可获得关于更新、CVE 漏洞、弃用包与废弃包的完整仪表盘。无需仓库访问权限、无需配置、无需自动化 pull request。

产品的核心理念只有一条：从注册到产生价值不超过两分钟。它是一个集中式的控制点，专为同时管理多个项目的开发者而设计，让你一眼就能看到自己有多少关键依赖、哪些项目最具风险、哪些应优先升级。

## 问题

如今的依赖监控市场被两类工具主导，对仅仅希望获得可见性的用户来说都有明显局限：

·Pull request 机器人（Dependabot、Renovate）：需要仓库访问、按项目维护 YAML 配置，并以 PR 的形式呈现，而非聚合仪表盘

·企业级安全扫描器（Snyk、Socket.dev、OWASP Dependency-Track）：功能强大，但面向有合规、SBOM、可达性分析需求的团队

空缺：没有产品提供 "粘贴 package.json → 看到仪表盘" 的流程。Outpaced 将自己定位为互补型工具，专注于监控与可见性，而不是自动化。

## 解决方案

刻意保持线性的用户流程：

·使用邮箱与密码注册

·创建 Project，无向导，直接进入

·粘贴 package.json，并可选地粘贴 lock file 以获得精确的 CVE 分析

·后台异步分析

·仪表盘呈现每个包的状态：当前版本、最新可用版本、更新类型、CVE、弃用与废弃情况

·每天最多 3 次手动重新检查，加上夜间自动检查

·出现新的关键告警时通过邮件通知

## 告警类型

四类不同的信号：

·Outdated — 有可用更新，严重程度从 info（patch）到 critical（major）

·Deprecated — npm 上被标记为弃用的包

·Vulnerability — 来自 npm Audit 与 OSV 的 CVE，依据 CVSS 划分严重程度

·Abandoned — 超过 2 年未发布且下载量下降，双重判据避免对成熟稳定的包产生误报

## 技术栈

技术选择直接反映了产品需求：

·前端：SvelteKit、TypeScript 与 Tailwind CSS，公共页面采用 SSR，仪表盘采用 SPA

·后端：基于标准库的 Go REST API，goroutine 与 channel 的原生并发非常适合异步 worker

·数据库：PostgreSQL，结构化关系并对 JSONB 静态加密保存 manifest

·队列与缓存：Redis + Asynq，分析与邮件分别使用独立队列

·认证：Better Auth，支持会话与 JWT，预留未来社交登录

·事务邮件：Resend 或 Postmark

·数据源：npm Registry、npm Audit 与 OSV（Google），用于元数据、CVE 与未来多生态扩展

## 双二进制架构

HTTP 服务器与 worker 是两个独立的二进制，共享同一个 Go 领域包：相同代码、独立部署与扩缩容、更好的运维韧性。worker 崩溃不会拖垮 API。

## 关键设计决策

塑造产品特征的五项选择：

·客户端解析以保护隐私：package.json 与 lock file 在浏览器内解析，只有归一化后的结构会到达服务端

·按工作区静态加密：JSONB 在列级使用每个工作区独立的密钥加密

·将限流作为产品决策：每天 3 次手动检查保护基础设施并尊重公共 npm API

·显式的 API 契约而非共享类型：OpenAPI 是 TypeScript 与 Go 之间的唯一事实来源

·GDPR 优先：删除账号即立即且不可逆地清除全部数据，无保留期

## 路线图

三个递进的价值阶段：

·V1 — 「manifest paste」MVP：认证、项目、粘贴 package.json、异步分析、全局告警中心、带 UI 反馈的限流、邮件通知、夜间检查、README 状态徽章

·V2 — Git 集成：GitHub、GitLab、Bitbucket OAuth，push webhook，monorepo 支持，多用户协作工作区

·V3 — 生态扩展与商业化：requirements.txt、go.mod、Gemfile，产品内修复建议与 PR，通过 Stripe 提供付费层级，Slack 通知与自定义 webhook

## 我学到的事

严格 product scoping 带来的实战经验：

·对「显而易见」的特性说不（V1 中的自动 PR 与仓库集成）以保护价值时刻

·从第一天起就明确划分服务端与 worker 的边界

·将隐私作为设计约束而非勾选项：客户端解析驱动了 UX、API 格式与体积上限的决策

·清晰的 V1/V2/V3 路线图，避免构建当下没人需要的功能

Outpaced 是一款总部位于意大利的欧洲产品，目前正在开发中。Stay ahead of your dependencies.

// 技术栈

[“sveltekit”, “go”, “postgres”, “redis”, “saas”, “devtools”, “dependency-monitoring”, ]